JP2004524591A - オンラインアプリケーション用統合型認証サービスを提供するシステム、方法およびコンピュータプログラム製品 - Google Patents
オンラインアプリケーション用統合型認証サービスを提供するシステム、方法およびコンピュータプログラム製品 Download PDFInfo
- Publication number
- JP2004524591A JP2004524591A JP2001570010A JP2001570010A JP2004524591A JP 2004524591 A JP2004524591 A JP 2004524591A JP 2001570010 A JP2001570010 A JP 2001570010A JP 2001570010 A JP2001570010 A JP 2001570010A JP 2004524591 A JP2004524591 A JP 2004524591A
- Authority
- JP
- Japan
- Prior art keywords
- user
- server
- authentication
- component
- policy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/105—Multiple levels of security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2117—User registration
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Theoretical Computer Science (AREA)
- Biomedical Technology (AREA)
- General Health & Medical Sciences (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Information Transfer Between Computers (AREA)
- Computer And Data Communications (AREA)
Abstract
１以上のオンラインアプリケーションのユーザにアプリケーションサービス提供設定における認証サービスを提供するシステム、方法およびコンピュータプログラム製品。このシステムは、クライアント側コンポーネントと、ユーザ管理コンポーネントと、ウェブブラウザと、デバイス特定コンポーネントと、認証制御とを含む。このシステムは、サーバ側コンポーネントと、認証サーバと、ウェブ／アプリケーションサーバと、通信コンポーネントと、フィルタとを含む。クライアント側コンポーネントの認証制御コンポーネントは、第１のアカウントのためのユーザ決定ポリシーとユーザ認定書とを獲得するプロセスを管理する。これにより、ユーザは、第１のアカウントにアクセスする保護レベルを規定することができる。
【選択図】図２
【選択図】図２
Description
【０００１】
（発明の背景）
（発明の分野）
本発明は概して情報へのアクセスを制御するためのシステム、方法およびコンピュータプログラム製品に関し、より詳細には、１つ以上のオンライン（またはウェブ）アプリケーションの登録されたエンドユーザを設定するアプリケーションサービスプロバイダー（ＡＳＰ）における統合された認証サービスを提供する。
【０００２】
（関連技術）
現在の経済にとって高速な情報へのアクセスおよび交流が重要であることは決して大げさなことではない。このことは、インターネット、イントラネット、情報の無線交流等の人気の急激な上昇を説明する。インターネットは、量が増大する情報また改変する情報に電気的にアクセスするために用いられ得る相互接続されたコンピュータネットワークのワールド−ワイドセットである。今日のインターネットは、公開された情報または機密でない情報へのアクセスまたは交流において特によく動作する。
【０００３】
インターネット上の情報へアクセスする１つの方法は、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ（ｗｗｗまたは“ｗｅｂ”）として知られている。ウェブは、分配するハイパーメディアシステムであり、クライアントサーバをベースとする情報提示システムとして機能する。ウェブは、Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＨＴＭＬ）と呼ばれる言語にフォーマットされたドキュメントをサポートする。ＨＴＭＬドキュメントは、グラフィック、オーディオ、ビデオファイル等だけでなく他のドキュメントへのリンクもサポートする。さらに、ＨＴＭＬは、ウェブページがどのようにフォーマットされ表示されるかを制御する。コンピュータユーザは汎用コンピュータ（“クライアント”と呼ぶ）を使用し、ページのユニフォームリソースロケーター（ＵＲＬ）を特定することにより、ウェブ（またはＨＴＭＬ）にアクセスし得る。図１は、インターネットに接続された複数のクライアントおよびサーバを示すネットワークブロック図である。
【０００４】
インターネットの人気には、インターネットがオファーしなければならない事項をいかなるユーザでも利用することが可能となるように開発されているツールおよびプロトコルの一部の貢献により得る。これらはウェブブラウザ、ＨＴＴＰ、Ｓ−ＨＴＴＰ、クッキーおよびＳＳＬを含むが、これらに限定されない。これらのそれぞれは以下でより詳細に述べられる。
【０００５】
ウェブブラウザは、ユーザがウェブページを見付け表示することを簡単にするソフトウェアアプリケーションである。ウェブブラウザの例としては、Ｎｅｔｓｃａｐｅ ＮａｖｉｇａｔｏｒおよびＭｉｃｒｏｓｏｆｔ Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒがある。本明細書中で開示するように、ウェブブラウザはイネーブルされたクライアントとの通信プロトコル（ｃｏｍｍｕｎｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ−ｅｎａｂｌｅｄ ｃｌｉｅｎｔ）の一例である。イネーブルされたクライアントとの通信プロトコルの他の例は、ＴＣＰ／ＩＰクライアントおよび無線クライアントであるが、これらに限定されない。
【０００６】
ウェブにおいて用いられる通常のプロトコルは、Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ）である。ＨＴＴＰは、メッセージがどのようにフォーマットされ送信されるか、およびウェブサーバおよびブラウザが様々なコマンドに応答してどのように動作するかを定義する。例えば、ユーザが彼（または彼女）のブラウザにＵＲＬを入力する場合、これはＨＴＴＰコマンドをウェブサーバに実際に送信し、要求されたウェブページをフェッチし送信するよう指令する。
【０００７】
ＨＴＴＰは、無国籍プロトコルと呼ばれる。なぜなら、各コマンドは、各コマンドの前または後にくるコマンドの知識無しに独立に実行されるからである。このことは、ユーザの入力に聡明に応答するウェブサイトを実行することがなぜ難しいかということに対する１つの理由である。ＨＴＴＰのこの特徴は、ＡｃｔｉｖｅＸ、Ｊａｖａ（Ｒ）、Ｊａｖａ（Ｒ）Ｓｃｒｉｐｔおよびクッキーを含むＨＴＴＰを相補する複数の新しい技術において対応されている。
【０００８】
例えばクッキーは、ウェブサーバによってウェブブラウザに提供されるメッセージである。クッキーは、サーバ側の接続がユーザ側の接続上において情報を格納および読み出すことの両方に用いられることが可能な一般的なメカニズムである。これは、単純に、持続的にクライアント側の状態がウェブベースのクライアント／サーバアプリケーションの能力を顕著に伸ばすことを付加する。
【０００９】
サーバはまた、ＨＴＴＰオブジェクトがユーザに戻されるとき、ユーザが格納することになる状態情報の一部を送信し得る。状態オブジェクトはその状態が正当であるＵＲＬの範囲の説明を含む。その範囲内においてユーザによって作られる将来のいかなるＨＴＴＰの要求も、ユーザからサーバに戻る状態オブジェクトの現在の値の送信を含むことになる。状態オブジェクトはクッキーである。この単純なメカニズムは、新しい型のアプリケーションのホストをイネーブルにし、ウェブをベースとする環境について書き込むパワフルなツールを提供する。ショッピングアプリケーションは、現在選択されたユーザアイテム、料金サービスが登録された情報を送り返し得、次の接続時にユーザがユーザネーム（またはユーザＩＤ）を再び入力することから解放すること、サイトがユーザーコンピューター上のユーザ毎の好みを格納し、ユーザがそのサイトに接続されているときのいつでもそれらの好みを提供すること等についての情報を格納し得る。
【００１０】
ウェブ上で用いられる他の通常のプロトコルは、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ（ＳＳＬ）プロトコルである。ＳＳＬは、インターネットを介してプライベートドキュメントを送信するために用いられるプロトコルである。ＳＳＬは、特定のセッションのためのウェブブラウザのみが知っているプライベートセッションキーを使用することにより動作する。セッションキーは各セッションにおいて変化する。セッションキーはＳＳＬ接続を介して送信されるデータを暗号化するために用いられる。多くのウェブサイトは、ＳＳＬプロトコルを使用してクレジットカードナンバーのような秘密のユーザ情報を入手する。
【００１１】
ウェブ上で安全にデータを送信するための他のプロトコルはＳｅｃｕｒｅ ＨＴＴＰ（Ｓ−ＨＴＴＰ）である。ＳＳＬはどのような量のデータでも安全に送信することが出来るようにクライアントとサーバとの間の安全な接続をつくるのに対し、Ｓ−ＨＴＴＰは個々のメッセージを安全に送信できるように設計されている。従って、ＳＳＬおよびＳ−ＨＴＴＰは、競合技術よりもむしろ相補的であると見ることが出来る。
【００１２】
上述のように、現在の経済にとって高速な情報へのアクセスおよび交流が重要であることはけっして大げさなことではない。インターネットの人気は上述のウェブブラウザおよび様々なプロトコルを介して上昇している。（インターネットおよび無線通信の人気もまた、それぞれに対して特定であるプロトコルを介して上昇している）。インターネットを介した秘密でない情報の高速な交流はユーザによく役立っている。しかしながら、そこにはいくつかの問題が存在する。１つの問題は、インターネットを介した秘密の情報の保護である。他の問題は、ユーザがオンライン（またはウェブ）アプリケーションに申し込んで使用するときに、ユーザのインターネットを介した秘密の情報が秘密であることについての個々のユーザの快適なレベルを満足させることである。
【００１３】
ユーザの快適なレベルを満足させることの重要性は、秘密のユーザ情報へのアクセスまたは交流を必要とするインターネットを介してユーザへ提供されるアプリケーションまたはサービスとして高まっている。例えばそのようなアプリケーションまたはサービスは、ビジネス−ビジネスおよびビジネス−消費者−電子商取引、銀行、株式取引、買い物、個人コンテンツウェブサイトのようなオンラインアプリケーション等である。悪質なユーザへの秘密の情報の提供をさけるために、ユーザ（またはウェブブラウザのような通信プロトコルの使用可能なクライアント）は、ウェブアプリケーションにユーザがアクセスする前に認証する必要がある。簡単な情報へのアクセスおよび交流は全てのユーザにとって魅力的であり、ほとんどのユーザはまた、インターネット、イントラネット、無線ネットワーク等を介してアクセス可能なユーザの秘密の情報の安全性に対して関心を持っている。
【００１４】
情報へのアクセスおよび交流のためのインターネットの人気の上昇を相殺しないようにするために、情報のインターネットプロバイダは、十分な秘密の情報の保護と、インターネット上の簡単な情報へのアクセスおよび交流とのバランスをとる必要がある。さらに、ウェブアプリケーションの登録されたユーザは、十分なユーザの満足レベルの達成を確実にするために、ウェブアプリケーションによって管理されるユーザアカウントに提供される保護レベル上のいくつかの制御を行うべきである。また、ユーザは登録（すなわち彼または彼女への資格の提供）を一回のみ行うべきであり、その後これらの資格は全てのユーザのアカウントの認証に再利用されるべきである。
【００１５】
（発明の要旨）
情報へのアクセスを制御するシステム、方法およびコンピュータプログラム製品、より詳細には、１つ以上のオンラインアプリケーションの登録されたエンドユーザを設定するアプリケーションサービスプロバイダ（ＡＳＰ）における統合された認証サービスを提供する。
【００１６】
通信媒体を介してユーザが要求する情報にアクセスするように設定するＡＳＰにおいて、遠隔から登録し、認証し、統合された認証サービスを提供するシステムは、クライアント側コンポーネントを含む。また、システムに含まれるものとしては、通信媒体を介してクライアント側コンポーネントに接続されたフィルタ、および通信媒体を介してクライアント側コンポーネントに接続されたユーザ管理コンポーネントがある。ユーザ管理コンポーネントは、エンドユーザの資格の登録を１回とすることを可能にする。さらに、ユーザ管理コンポーネントは、エンドユーザが彼らのウェブアプリケーションアカウントへのアクセスの保護のレベルを定義することを可能にする。これは、特に本発明において用いられる構成であるアカウント、特定のユーザ資格、および引き続いてセットアップされるが同じユーザ資格を用いる構成であるアカウントを含むが、これに限定されない。次に、本発明は、それらの資格を再利用し、１つ以上の潜在的な関係のないウェブアプリケーションへのユーザの認証を行う。
【００１７】
システムはまた、通信媒体を介してフィルタおよびユーザ管理コンポーネントに接続されたサーバ側コンポーネントを含む。クライアント側コンポーネントは、ユーザ資格をキャプチャするプロセスを管理し、キャプチャプロセス結果をフィルタへ通信する、認証制御コンポーネントを含む。サーバ側コンポーネントは認証サーバを含む。認証サーバは、複数のユーザに関するデータおよびユーザに関する少なくとも１つのポリシーを格納する。ユーザポリシーは認証レベルを定義し、認証レベルはユーザが要求された情報へのアクセスが許可される確率を定義する。さらに、認証サーバはフィルタからユーザ資格を受取り、ユーザポリシーを実行することによりユーザを認証することを試み、ユーザが認証されたかどうかについてフィルタへ通信する。最後に、フィルタは、一旦ユーザが認証サーバによって認証されると、要求された情報を含むサーバと相互に作用する。
【００１８】
ユーザの遠隔からの登録を可能にするために、本発明は、認証制御コンポーネントおよび登録アプリケーションを含むクライアント側コンポーネントを提供する。登録アプリケーションは、ユーザ資格を提示するときに、ユーザと相互に作用するプレゼンテーションロジックの運用について責任がある。認証制御コンポーネントは、ユーザ資格をキャプチャするプロセスの管理およびキャプチャプロセスの結果のサーバ側コンポーネントへの通信について責任がある。
【００１９】
本発明は、添付の図面を参照して説明される。
【００２０】
（好適な実施形態の詳細な説明）
Ａ．発明の概要
本発明の発明者は、インターネットのような通信媒体を介した、エンドユーザによって定義される秘密の情報の保護と、同じ秘密の情報への容易なアクセスとの効果的なバランスを実現する解決方法が無かったことを認めた。本発明はインターネットを参照して開示されるが、本発明はインターネットに限定されることを意味しないことを留意しておくことが重要である。本発明はまた、イントラネット、無線ネットワーク等に適用される。
【００２１】
上述の問題についての本発明の全般的な解決方法としては３つある。第１には、インターネット上において有効な秘密の情報を保護することが可能な識別デバイスを適切に用いることである。
【００２２】
第２には、適切な識別デバイスを用いて、インターネットでアクセス可能な（またはウェブ）アプリケーションおよび／または秘密の情報を管理するサービスへのユーザの効果的な認証を提供する、システム、方法およびコンピュータプログラム製品を提供することである。
【００２３】
第３には、ウェブアプリケーションの登録されたエンドユーザが、彼らのアカウントへ提供される保護のレベルについてのいくつかの制御を有することを可能にし、適切なユーザの快適なレベルを実現することを確実にすることである。この要求は、全てのユーザ資格を中核的に格納し管理することを補助するユーザ管理アプリケーションを提供する。ユーザ管理アプリケーションは、エンドユーザを満足させ、ユーザの１回の登録（すなわち、彼または彼女の資格を提供すること）を可能にし、１つ以上のウェブアプリケーションの認証のために格納された資格が再使用されるように機能する。例えば、ユーザ“Ｊａｎｅ”は、ｄｉｓｃｏｕｎｔ ｖａｃａｔｉｏｎ．ｃｏｍと呼ばれる割引された休暇のパッケージを申し込むサービスのアカウントと、ｂａｎｋｏｎｌｉｎｅ．ｃｏｍと呼ばれるオンライン銀行機関のアカウントとを有するとみなす。Ｊａｎｅは割引された休暇のパッケージを示す彼女のアカウントよりも、彼女のオンラインバンキングアカウントへのアクセスについてより高いレベルの認証を望むことが予想される。従って、Ｊａｎｅは、彼女に指紋スキャナー、音声認識システムおよび顔認識システムをパスさせて彼女のアカウントへアクセスさせることを要求するポリシーを伴う彼女のオンラインバンキングアカウントの保護を決定し得る。それに対し、Ｊａｎｅは、彼女の割引された休暇のパッケージアカウントの保護は指紋スキャナを伴うことのみを望み得る。Ｊａｎｅは、本発明によって、指紋測定、音声測定および顔測定を含む、彼女の資格の１回の提供を要求される。その後、彼女の指紋測定は、彼女のオンラインバンキングアカウントおよび彼女の割引された休暇のアカウントの両方へのアクセスに再使用される。
【００２４】
１つの実施形態において、本発明は、アプリケーションサービスプロバイダ（ＡＳＰ）において実行される。概して、ＡＳＰは、中央データセンターからのワイドエリアネットワークを介したソフトウェアをベースにしたサービスおよび顧客の問題解決方法の管理および分配を行う第三者的存在である。
【００２５】
問題解決方法は、現在インターネットにより供給される容易で高速な情報のアクセスおよび交流に関するインターネットの人気を減少させてはいけない。より詳細には、本発明のシステムのアーキテクチャは、通信プロトコルのイネーブルされたクライアントの資格の遠隔からの登録のみでなく、認証された通信プロトコルのイネーブルされたクライアントのためのクロスプラットフォーム、ハイパフォーマンス、拡張性、高い拡張性のある問題解決方法を有さなければならない。
【００２６】
秘密の情報についての不適切な認証、および不適切な保護により、１０億ドルが、数千のＥ−コマースビジネス、インターネットデータコンテンツプロバイダ等において失われている。多くのユーザは、インターネットを介してユーザの秘密の情報がアクセス可能であることについて満足していない。従って、秘密の情報と関係する場合、これらのユーザは簡単に使えるインターネットをあきらめ得、より伝統的なタイプの、インターネットでアクセス不可能なビジネスおよびサービスという手段をとる。
【００２７】
今日、登録されたユーザの資格についてのようなウェブアプリケーションの制御は、彼または彼女のアカウントにアクセスするために提供されなければならない。ほとんどのウェブアプリケーションにおいて、要求される資格は僅かである。例えば、ほとんどのウェブアプリケーション／サービスは、ユーザをユーザネームおよびパスワードのみによって認証している。他の識別デバイスは、スマートカード、トークンおよび様々なバイオメトリックデバイス（例えば、指紋スキャナ、音声または顔認識システム等）を含むがそれに限定されない。さらに、ほとんどのウェブアプリケーションは、パスワードのみを含む“シングルサインオン”と呼ばれるプロセスを取り入れることにより、コストおよび秘密のデータの保護の複雑な運営を削減している。
【００２８】
シングルサインオンは、各ユーザに、１回のパスワード入力で（公的または秘密でない情報および秘密の情報を含む）全てのウェブアプリケーションリソースにアクセスすることを提供する。ほとんどのユーザは、１つのパスワードを書き残すことなく覚えることができる。この情報保護の運営の複雑さおよびコストを削減することで、ユーザの情報へのアクセスの取得が信頼性のあるものであることの可能性が削減される。パスワードを用いたシングルサインオンが秘密でない情報にアクセスするユーザの認証として受け入れられている間、パスワードを用いたシングルサインオンは、他のタイプの情報に追加して秘密の情報にアクセスするユーザの認証として受け入れられない。ユーザのアクセスの取得が信頼性のあるものであることの可能性は、異なるタイプの情報（例えば、秘密の情報と秘密でない情報）へのアクセスについて複数のパスワード、複数のトークン、複数のスマートカードまたは複数のバイオメトリックデバイスを用いることを各ユーザに強制することにより上昇させることが出来る。
【００２９】
Ｂ．システムアーキテクチャの概要
図２は、本発明の動作環境の一例を示すブロック図である。図２に示す動作環境の例は説明のみを目的としたものであり本発明を限定するものではないことを理解されたい。本明細書中で開示される動作環境の他の実現は、本明細書中に含まれる教示に基づいて当業者には明らかであり、本発明はそのような他の実現も対象にする。図２を参照して、認証サーバ２０２、通信コンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７、認証制御コンポーネント２０８、デバイス特定コンポーネント２１０、ウェブブラウザ２１２および１つ以上のウェブ／アプリケーションサーバ２１４が開示される。
【００３０】
本発明の実施の形態における機能的モジュールまたはコンポーネントは、認証サーバ２０２、通信コンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７および認証制御コンポーネント２０８を含む。本発明のコンポーネントはそれぞれ、以下のものを含むカテゴリに分類される：クライアント側コンポーネント、フィルタコンポーネント、ユーザ管理コンポーネント、サーバ側コンポーネントおよび遠隔登録コンポーネント。認証サーバ２０２および通信コンポーネント２０４は、サーバ側コンポーネントに分類される。デバイス特定コンポーネント２１０およびウェブブラウザ２１２に加えて認証制御コンポーネント２０８は、クライアント側コンポーネントに分類される。フィルタ２０６は、フィルタコンポーネントに分類される。ユーザ管理コンポーネント２０７はユーザ管理コンポーネントに分類される。最後に、認証制御コンポーネント２０８および通信コンポーネント２０４は、遠隔登録コンポーネントに分類される。
【００３１】
本発明の１つの実施形態において、サーバ側コンポーネントおよび遠隔登録コンポーネントは、独立したプラットフォームとして設計され、それらとの通信がスタンダードで公開されたプロトコル（例えば、ＨＴＴＰプロトコル（ＲＦＣ ２０６８））を介して実施されることのみを要求する。認証制御コンポーネント２０８は、クライアント側コンポーネントおよび遠隔制御コンポーネントの両方に分類されることに留意されたい。さらに、通信コンポーネント２０４は、サーバ側コンポーネントおよび遠隔制御コンポーネントの両方に分類される。本発明の異なる分類（または機能）におけるこれらのコンポーネントの再使用は、オブジェクト指向型プログラミング言語におけるコンポーネントの実行の結果である。
【００３２】
いくつかのオブジェクト指向型プログラムの利点は、新しいタイプのオブジェクトが追加されたときに変更する必要の無い（機能を実行する）モジュールをプログラマーが作ることを可能にすることである。オブジェクトは、タスクを実行することが要求されるデータおよび機能の両方を含む。従って、オブジェクトとして本発明のコンポーネントによって実行される機能の実施により、作られたモジュールは、新しいタイプのオブジェクト（または機能）が追加されたときに変更する必要が無い。この本発明の実施は複雑さを低減し、従って、能率を向上させる。本発明のカテゴリ（およびそれらそれぞれのコンポーネント）は次に開示される。
【００３３】
（１．サーバ側のコンポーネント）
上述のように、認証サーバ２０２および通信コンポーネント２０４は、サーバ側のコンポーネントとして分類されている。認証サーバ２０２は、通信コンポーネント２０４（図２参照）に接続されている。認証サーバ２０２は、関連の同時係属中の米国出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１に詳細に記述されている（上記「関連出願へのクロス・リファレンス」を参照）。便宜のため、以下、認証サーバ２０２は簡単に記述されている。
【００３４】
認証サーバ２０２は、本発明のエンジンであり、本発明によって必要とされるデータの集合を格納する。認証サーバ２０２内のエンジンの機能および格納されたデータの双方が以下にさらに詳細に議論される。認証サーバ２０２に格納されたデータの種類が登録ステーションおよび管理ステーション（図示せず）の動作を通して部分的に判定される。登録ステーションは、本発明によって認証されることになっているユーザを登録するために用いられる。登録ステーションは、本発明がユーザを登録および最終的には認証するために用いる全種類のデバイス（例えば、指紋スキャナのような生物測定デバイス、音声または顔認識システム等、または、ＲＳＫトークン、ＶＡＳＣＯトークン等のセキュリティトークンその他）に取り付けられている。ユーザが本発明に登録される場合、ユーザは、管理上の判断に必要となるできるだけ多くのデバイスに登録され得る。
【００３５】
管理ステーションは、本発明の管理者が管理任務全般を行うために用いられる。管理者は、さらに、種々のリポートを作成するために管理ステーションを使用し得る。リポートは、認証サーバ２０２に格納された異なるタイプのデータのリスト（例えば、本発明において現在登録されているユーザのリスト）を含む場合がある。加えて、管理ステーションは、典型的には、認証サーバ２０２内のイニシャルデータをセットアップするために用いられる。
【００３６】
本発明によって使用され得る他のコンポーネントとしては、同じく図２に図示しないサテライト登録ステーションがある。サテライト登録ステーションは、遠隔位置でユーザを本発明に登録するために用いられる。サテライト登録ステーションは、管理ステーションと同様に、多くのデバイスが取り付けられるようにしてもよいが、代替的に、管理ステーションをスケールダウンしたバージョンであってもよい。以下に詳細に記載するように、本発明を用いると、ウィブブラウザ（すなわち、クライアントに与えられた通信プロトコル）は、遠隔登録ステーションとして作用することができる。
【００３７】
認証サーバ２０２は、さらに、図２において図示しない認証コンポーネント（すなわち、認証オブジェクト）を含んでいる。認証コンポーネントは、通信コンポーネント２０４と相互に影響し合って、ユーザの認証を行うために必要な機能を提供する。認証コンポーネントは、以下、より詳細に記載される。
【００３８】
本発明の遠隔登録コンポーネントを参照して記載されるように、認証サーバ２０２は、さらに、通信コンポーネント２０４と相互作用して遠隔登録を行うための必要な機能を提供する登録コンポーネント（図２において図示せず）を含む。
【００３９】
上述したように、認証サーバ２０２は、通信コンポーネント２０４に接続されている。通信コンポーネント２０４は、（以下に説明する）監視（ｌｉｓｔｅｎ）オブジェクトおよびコム（ｃｏｍｍ）オブジェクトを含む、特定の機能を行う異なる種類のオブジェクトを含んでいる。これらの種類のオブジェクトは、ユーザが認証されることを試みた場合に本発明によって必要な通信を提供するために用いられる。上述のように、本発明は、インターネット等の通信メディアを介した内密の情報の保護および同じ内密の情報へのアクセスの容易さの平衡を効果的に保たせる解決方法を提供する。本発明がインターネットを参照して記載される場合、本発明を制限することを意味しないことに留意することは重要である。本発明は、さらに、イントラネット、無線ネットワークその他に適用される。通信メディアの種類に依存して、通信コンポーネント２０４は、特定のメディアを介してユーザを認証するために、必要な通信機能を行う。このことは、図４、図５Ａ及び図５Ｂを参照して示されている。
【００４０】
図４において、通信コンポーネント２０４は、無線ネットワークのための必要な機能を行う。図５Ａは、局所ネットワークまたはイントラネットのために必要な機能を行う通信コンポーネント２０４示している。最後に、図５Ｂは、イントラネットのための必要な機能を行う通信コンポーネント２０４を示している。通信コンポーネント２０４、認証コンポーネント、および、互いに相互作用する方法が、以下に、通信メディアがインターネットである場合について記載される。ただし、本発明は、インターネットに制限されるわけではない。
【００４１】
（ａ．通信コンポーネント−監視オブジェクト）
監視オブジェクトは、認証サーバ２０２が始動する時に認証サーバ２０２によって、実例が挙げられる。監視オブジェクトは、図６によって示される次のタスクについて役割を有している。図６において、フローチャートはステップ６０２で開始する。一旦、その存在が示されると、監視オブジェクトは、ステップ６０２に示されるような入来ＳＳＬ接続リクエスト用の標準ＳＳＬポート（すなわち、ポート４４３）上のＨＴＴＰデーモン・リスニングのように駆動する。
【００４２】
ステップ６０４において、一旦、監視オブジェクトがＳＳＬ接続リクエストを受け取ると、以下に記載するように、監視オブジェクトは、リクエストがコムオブジェクトによって処理されることを保証する。制御は、次に、ステップ６０２に戻り、監視オブジェクトは、入来ＳＳＬ接続リクエストを監視する。監視オブジェクトは、認証サーバ２０２が処理を終えると壊されるのみである。
【００４３】
リクエストがステップ６０４で処理されることを監視オブジェクトが保証する異なる方法がある。例えば、本発明のある実施形態では、監視オブジェクトは、標準デーモンスレッド、ワーカー・スレッド・プールモデルとして実行され得る。ここで、単一のデーモンスレッドは、全ての入来接続リクエスト受け入れ、新規の創作されたソケット（各接続に対して）をプール内のワーカースレッドの一つに手放す。次に、デーモンスレッドは、より多くの入来接続のための監視に戻り得る。プール内のスレッド数は、形成可能なパラメータであり得る。スレッドは、当業者に周知である。
【００４４】
本発明の他の実施形態において、監視オブジェクトは、ＩＯ完了ポートを用いて、単一ポイントのクライアントからの受信リクエストおよびクライアントへの送達レスポンスを提供し得る。この技術は、さらに、本来的に非同期の通信メカニズムに向いている。通信メカニズムは、ＩＯ中心の処理の性能を向上するために示されている。ＩＯ完了ポートおよび非同期の通信メカニズムも、当業者に周知である。本発明のコムオブジェクトは以下に議論される。
【００４５】
（ｂ．通信コンポーネント−コムオブジェクト）
コムオブジェクトは、それぞれの新しいクライアントセッションの間に、実例が挙げられる。クライアントセッションは、ウェブブラウザ２１２でのユーザがウェブ／アプリケーションサーバ２１４にアクセスすることを試みる場合の結果として生じる。一旦、認証処理が完了すると、エラーが発生するか、または、タイムアウトが発生するか、対応するコムオブジェクトが破壊される。コムオブジェクトは、図７に示される以下のタスクについて責を負う。図７において、フローは、ステップ７０２で始まる。ステップ７０２において、コムオブジェクトは、データの対称な暗号化／復号化についてのウェブブラウザ２１２を用いてセッションキーを取り決める。これは、サーバ側の証明並びにクライアント側の証明を交換することを含み得る。制御は、次に、ステップ７０４に進む。
【００４６】
ステップ７０４において、コムオブジェクトは、セッションキーを用いて暗号化されたウェブブラウザ２１２からデータを受け取る。制御は、次に、ステップ７０６に進む。
【００４７】
ステップ７０６において、コムオブジェクトは、ステップ７０４において受け取ったデータを復号化する。制御は、次に、ステップ７０８に進む。
【００４８】
ステップ７０８において、コムオブジェクトは、ＨＴＴＰヘッダおよび復号化されたデータ内のコンテンツを解析する。制御の後、ステップ７１０に進む。
【００４９】
ステップ７１０において、コムオブジェクトは、受信したデータからの特定のフォーマットに適合するデータオブジェクトを生成し、認証サーバ２０２の認証コンポーネント（すなわち、認証オブジェクト）またはポリシーオブジェクト（認証オブジェクトを介して）にそれを手放す。ポリシーオブジェクトは、関連する同時係属米国出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に説明されている。ポリシーオブジェクトは、用いられている特定のポリシーによって異なっている。認証サーバ２０２の認証コンポーネントによってユーザが認証されるべきかについての方法または方式を決定するのはポリシーである。彼または彼女が適切なポリシーを通過する（ｐａｓｓ）までユーザが認証されないことに留意することは重要である。本発明において、ユーザは、彼または彼女のポリシーを通過することもなく、単独で通過する一つ以上のデバイスによって決して認証されない。ポリシーは、以下においてさらに議論される。制御は、次に、ステップ７１２に進む。
【００５０】
ステップ７１２において、コムオブジェクトは、データオブジェクトを認証オブジェクトまたはポリシーオブジェクトから受け取り、ＨＴＴＰに従ってそれをフォーマット化する。制御は、次に、ステップ７１４に進む。
【００５１】
ステップ７１４において、コムオブジェクトは、ウェブブラウザ２１２に再送信されるセッションキーを用いてデータを暗号化する。制御は、次に、ステップ７１６に進む。
【００５２】
ステップ７１６において、コムオブジェクトは、暗号化されたデータをウェブブラウザ２１２に送信する。一部または全ての上記ステップは、ポリシーが多要素の認証を要求する場合、数回繰り返され得ることに留意することは重要である。図７のフローチャートは、このポイントで終了する。上述したように、エラーが発生した場合、または、タイムアウトが発生した場合には、コムオブジェクトは、一旦、認証プロセスが完了した後、破壊される。本発明の認証コンポーネント（すなわち、認証オブジェクト）は、次に記載される。
【００５３】
（ｃ．認証コンポーネント−認証オブジェクト）
認証オブジェクトにおいても、それぞれの新しいクライアントセッションの間に実例が挙げられる。上記の通信オブジェクトのように、認証オブジェクトも特定の通信メディアであり得る。認証オブジェクトのタスクが図８に示されている。図８において、制御がステップ８０２で始まる。ステップ８０２において、認証オブジェクトは、ポリシー（またはポリシーオブジェクト）を、ユーザを認証するために用いられることになっているデータベース（またはデータベースオブジェクト）から取り出す。制御は、次に、ステップ８０４に進む。
【００５４】
ステップ８０４において、認証オブジェクトは、通信コンポーネント２０４に、ウェブブラウザ２１２（フィルタ２０６および認証制御コンポーネント２０８を介して）を用いた通信のために要求される必要なメッセージの全てを通知する。一旦、認証メッセージの交換が完了すると、制御はステップ８０６に進む。
【００５５】
ステップ８０６において、認証オブジェクトは、最終結果をフィルタ２０６に（通信コンポーネント２０４を介して）戻す。フィルタ２０６は、順次、サーバ／ウェブアプリケーション２１４と相互作用して、ユーザにアクセスすることを許容する（または禁ずる）。ユーザによるアクセスの制御から離すためのフィルタ２０６とサーバ／ウェブアプリケーション２１４との間の相互作用は、本発明によって統合と呼ばれる。図８におけるフローチャートは、このポイントで終了する。本発明のクライアント側のコンポーネントは次に記載される。
【００５６】
（２．クライアント側のコンポーネント）
本発明により、認証制御コンポーネント２０８は、デバイス固有コンポーネント２１０およびウェブブラウザ２１２とともに、クライアント側のコンポーネントとして分類される。デバイス固有コンポーネント２１０はソフトウェアライブラリおよび認識デバイス（例えば、指紋スキャナ、音声または顔面認識システムのような生物測定のデバイス等、または、ＲＳＡトークン等のセキュリティトークンその他）に特有の他のコンポーネントである。デバイス固有のコンポーネント２１０は、典型的には、デバイス製造業者によって輸送され、通常、デバイスをインターフェースで連結するために用いられ得るアプリケーションプログラミングインターフェース（ＡＰＩ）を含んでいる。
【００５７】
認証制御コンポーネント２０８は、デバイス固有のコンポーネント２１０と共に作動して、ユーザの信用証明書を獲得する処理、必要な任意の局所プロセスを行う処理、およびこの処理の結果をフィルタ２０６に通信する処理を管理する。例えば、認証制御コンポーネント２０８は、所定のウェブブラウザ（例えば、インターネットエクスプローラー）のためのアクティブＸ制御として実行され得、並びに、他のウェブブラウザ（例えば、Ｎｅｔｓｃａｐｅ）のためのアクティブＸ制御と同一の論理を含むプラグ接続式として実行され得る。
【００５８】
本発明のクライアント側のコンポーネントは、ソフトウェアの完全性および１回のダウンロードを含む２つの特徴を提供する。一旦、認証制御コンポーネント２０８がクライアントのコンピュータまたは機械上でダウンロードされると、悪意のあるユーザが、それをみだりに変更するおそれがある。このようなことを防止するため、クライアントソフトウェアの完全性が、認証制御コンポーネント２０８が用いられる前の各回ごとにチェックされる。これは、認証制御コンポーネント２０８用のコード上およびデバイス固有のコンポーネント２１０用のコード上のハッシュを実行することによって達成され得る。任意の変化が発見された場合、本発明の認証が進行する前に、認証制御コンポーネント２０８および／またはデバイス固有のコンポーネント２１０用のオリジナルのコードがダウンロードされる。
【００５９】
本発明の、１回のダウンロードについての特徴は、登録時またはユーザが認証制御コンポーネント２０８を有していないコンピュータから認証することを試行する初回のいずれかの際に、ユーザのコンピュータ上で１回のみ、特定バージョンの認証制御コンポーネント２０８がダウンロードされるという事実を取り扱う。その後は、それぞれの新しいバージョンの認証制御コンポーネント２０８も、ユーザのコンピュータ上で１回のみダウンロードされる。フィルタコンポーネントは次に記載される。
【００６０】
（３．フィルタコンポーネント）
フィルタ２０６は、ウェブ／アプリケーションサーバ２１４（すなわち、本発明の認証サーバを必要とする任意のウェブサーバまたはアプリケーションサーバ）に存在する軽微なコンポーネントである。フィルタ２０６のためのコードは、好ましくは、最適な性能のために、ウェブ／アプリケーションサーバ２１４の本来の言語（例えば、Ｃ、Ｃ＋＋、Ｊａｖａ（Ｒ）等）で書き込まれる。本発明の一実施形態において、フィルタ２０６は、ウェブブラウザ２１２から送られる全てのリクエストを見て、ウェブブラウザ２１２からの認証のための任意のリクエストを遮断する。フィルタは、次いで、認証リクエストを認証サーバ２０２に転送する。
【００６１】
フィルタ２０６は、Ｎｅｔｓｃａｐｅ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｒｖｅｒ（ＮＥＳ）、Ｍｉｃｒｏｓｏｆｔ Ｉｎｔｅｒｎｅｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｒｖｅｒ（ＭＳＩＳ）、Ａｐａｃｈｅ等を含む（ただし、これらに限定されない）、実在するウェブサーバと共同動作して、ウェブサイトにアクセスするための認証サーバを提供するように設計される。フィルタ２０６は、さらに、ＢＥＡウェブロジック、ＳｉｌｖｅｒＳｔｒｅａｍ Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ ＡｐｐＳｅｒｖｅｒ、Ｓｕｎ ＮｅｔＤｙｎａｍｉｃｓ、Ｍｉｃｒｏｓｏｆｔ Ｓｉｔｅ Ｓｅｒｖｅｒ等を含む（ただし、これらに限定されない）、アプリケーションサーバとともに用いられて、オンラインバンキング、オンラインの株式売買その他を含むウェブアプリケーションのための認証サーバを提供し得る。図２に示されるように、フィルタ２０６は、一つ以上のウェブ／アプリケーションサーバ２１４に接続される。ウェブ／アプリケーションサーバ２１４は、上述のように、ウェブサーバおよびアプリケーションサーバの両方を表す。本発明の遠隔登録コンポーネントは、次に記載される。
【００６２】
（４．遠隔登録コンポーネント）
本発明によると、ユーザは、自らの信用証明を遠隔から（インターネット、イントラネット、無線ネットワークその他を介して）登録することができる。本発明の遠隔登録コンポーネントは、認証制御コンポーネント２０８、通信コンポーネント２０４および中間層登録アプリケーションを含んでいる。上述のように、認証制御コンポーネント２０８は、さらに、登録および認証（クライアント側のコンポーネント）のために用いられ得る。上記に説明したように、通信コンポーネント２０４は、監視オブジェクトおよびコムオブジェクトを含んでいる。ここで、通信コンポーネント２０４は、認証サーバ２０２（すなわち、登録オブジェクト（これは上述の認証オブジェクト一部である））の登録コンポーネントと相互作用する。これにより、登録時に、認証制御コンポーネント２０８の「１回の」ダウンロードが許容され、あるいは、ユーザが登録されたものとは異なるコンピュータに移動した場合には、認証制御コンポーネント２０８は、ユーザがその異なるコンピュータから認証することを試みる初回にダウンロードされる。
【００６３】
本発明の遠隔登録の機能性は、ユーザの信用証明（例えば、生物測定、パスワード等）を獲得し、その信用証明を登録オブジェクトに送信するために、認証制御コンポーネント２０８を必要とする。登録オブジェクトでは、認証サーバ２０２のデータベース内に、本発明による将来のユーザの認証のために、信用証明を格納する。
【００６４】
登録アプリケーションは、遠隔登録プロセスのプレゼンテーションロジックを駆動する。登録アプリケーションは、ウェブブラウザ２１２において概観される、ユーザ可視のＨＴＭＬを生成する責を負う。いくつかの技術が、Ａｃｔｉｖｅ Ｓｅｒｖｅｒ Ｐａｇｅｓ（ＡＳＰ）、Ｊａｖａ（Ｒ） Ｓｅｒｖｅｒ Ｐａｇｅｓ（ＪＳＰ）、ＪＡＶＡ（Ｒ） Ｓｅｒｖｌｅｔｓ、Ｍｉｃｒｏｓｏｆｔ ＩＳＡＰＩおよびＮｅｔｓｃａｐｅ ＮＳＡＰＩを含む、ユーザ可視のＨＴＭＬを実行するために用いられ得る。登録アプリケーションは、一方の側において、媒介認証制御コンポーネント２０８として作用し、他方の側において、監視オブジェクト、コムオブジェクトおよび登録オブジェクトとして作用する。監視オブジェクト、コムオブジェクトおよび登録オブジェクトのタスクが、次に、記載される。
【００６５】
（ａ．通信コンポーネント−監視オブジェクト）
上記に説明したように、監視オブジェクトは、認証サーバが始動する時点で、認証サーバ２０２によって、実例が挙げられる。監視オブジェクトは、図９に示される以下のタスクの責を負う。図９において、フローチャートがステップ９０２で開始する。一旦、実例が挙げられると、監視オブジェクトは、ステップ９０２に示されるように、入来ＳＳＬ接続リクエストに対する標準ＳＳＬポート（すなわち、ポート４４３）上のＨＴＴＰデーモン監視と同様に作用する。制御は、次に、ステップ９０４に進む。
【００６６】
ステップ９０４において、一旦、監視オブジェクトがＳＳＬ接続リクエストを受け取ると、監視オブジェクトは、リクエストのパラメータを見て、制御が登録オブジェクト、コムオブジェクト、または本発明が支持する任意の他の機能オブジェクトに移動すべきかどうかを決定する。図６がただ一つの可能な種類のリクエスト（すなわち、認証リクエスト）が存在する場合を示していることに留意すべきである。制御は、次に、ステップ９０６に進む。
【００６７】
ステップ９０６において、監視オブジェクトは、リクエストが処理したことを保証する。制御は、次に、ステップ９０２に戻る。ここでは、監視オブジェクトは、入来ＳＳＬ接続リクエストを監視する。監視オブジェクトは、一旦、認証サーバ２０２が停止されると、破壊されるのみである。
【００６８】
（ｂ．通信コンポーネント−コムオブジェクト）
コムオブジェクトは、それぞれの新しいクライアントセッションの間に実例が挙げられる。クライアントセッションは、ウェブブラウザ２１２におけるユーザがウェブ／アプリケーションサーバ２１４にアクセスすることを試みる場合の結果として生じる。一旦、登録プロセスが完了すると、エラーが発生するか、または、タイムアウトが発生するか、対応するコムオブジェクトが破壊される。コムオブジェクトは、図７によって示されるのと同一のタスクの責を負う。
【００６９】
（ｃ．登録コンポーネント−登録オブジェクト）
登録オブジェクトは、（登録アプリケーションを介し）認証制御コンポーネント２０８を用いて、メッセージ交換に対する論理を実行し、メッセージ交換を駆動するため、上記に説明された認証オブジェクトの一部である。登録オブジェクトの新しい例もまた、それぞれの新しいクライアントセッションに対して実例が挙げられる。上記の通信オブジェクトおよび認証オブジェクトと同様に、登録オブジェクトもまた、特定の通信メディアであり得る。登録オブジェクトのタスクが図１０に示されている。図１０において、制御は、ステップ１００２で開始する。ステップ１００２において、登録オブジェクトは、ポリシー（またはポリシーオブジェクト）をユーザのために生成する。制御は、ステップ１００４に進む。
【００７０】
ステップ１００４において、生成されたポリシーに基づいて、登録オブジェクトは、必要な信用証明をユーザからリクエストする。この信用証明は、テンプレートとして格納される。例えば、ポリシーがユーザが指紋デバイスおよび手の紋様を測定するデバイスの両方で試験されることを必要とする場合、登録オブジェクトは、ユーザの指紋および手の紋様の生物測定をリクエストする。制御は、次に、ステップ１００６に進む。
【００７１】
ステップ１００６において、登録オブジェクトは、ポリシーおよび信用証明（またはテンプレート）を認証サーバ２０２のデータベース内に格納する。図１０のフローチャートは、このポイントで終了する。
【００７２】
本発明の一実施形態は、上記に議論した本発明の機能コンポーネントの全てを含んでいるが、一部（または全て）のコンポーネントは、各コンポーネントの機能性が上記の本発明の範囲内に依然として存在している限り、実行され得る。
【００７３】
（５．ユーザ管理コンポーネント）
本発明は、ユーザが自らの信用証明を本発明により一度に登録することを許容する。本発明は、次に、ユーザの信用証明を再利用して、一つ以上の関連する可能性がないオンラインアカウントにアクセスするために、ユーザを認証する。このオンラインアカウントは、ウェブ／アプリケーションサーバ２１４によって提供される。本発明によると、さらに、ウェブ／アプリケーションサーバ２１４によって提供される特定のユーザのオンラインアカウントに対して、ユーザは、どのポリシーおよびどの種類の鑑定デバイスがユーザを認証するために用いられるべきかを決定することができる。
【００７４】
ユーザが最初に本発明に結合し得る方法は複数存在する。一つの方法は、ユーザがウェブ／アプリケーションサーバ２１４によって本発明の方に再び向けられることである。ここで、ウェブ／アプリケーションサーバ２１４は、ユーザが本発明を用いて登録すること、または、単に、ユーザに本発明を用いて登録する機会を提供することを必要とし得る。ユーザが最初に本発明に結合し得る他の方法は、ユーザが直接、本発明と接触して、どのウェブ／アプリケーションサーバ２１４が本発明を利用するかを決定することである。例えば、ユーザがオンラインバンキングアプリケーション／プロバイダを探しており、彼または彼女の内密のアカウント情報を保護することに関係する場合、ユーザは、実際に彼または彼女のオンラインバンキングプロバイダを、オンラインバンキングのプロバイダが本発明を利用するかどうかに基づいて選択し得る。
【００７５】
本発明によると、ユーザは、自らのオンラインアカウントに対するアクセスの保護のレベルを規定することができる。本発明は、次に、それらの信用証明を再利用して、ユーザを、オンラインアカウントに関連しない一つ以上のポリシーを認証する。ユーザ管理コンポーネントは、ユーザ管理コンポーネント２０７を含んでいる。ウェブ／アプリケーションサーバ２１４によって提供された、関連する可能性のないオンラインアカウントへの認証に対するユーザの信用証明を格納および管理（およびしたがって再利用）する中心データを維持するのは、ユーザ管理コンポーネント２０７の機能である。
【００７６】
ユーザ管理コンポーネント２０７は、ユーザ管理プロセスのプレゼンテーションロジックを駆動させる。ユーザ管理コンポーネント２０７は、認証制御コンポーネント２０８を介して、（複数の）ポリシーを獲得するようにウェブブラウザ２１２にて視聴されるウィザードおよび／またはユーザ可視ＨＴＭＬページを提示することにより、ユーザとの相互作用を駆動させ得る。ポリシー（（複数の）ポリシーを実行するために必要な識別デバイスを含む）は、ユーザおよびユーザ信用証明（すなわち、生物測定、パスワード等）により特定される。バックエンドにて、ユーザ管理コンポーネント２０７は、ポリシーを提供するように認証サーバ２０２と相互作用する。ポリシーは、特定のオンラインアカウントについてユーザを認証させる場合に使用される。ユーザ管理コンポーネント２０７は、任意の工業規格プラットフォームを用いて展開され得る。任意の工業規格フラットフォームは、Ｊａｖａ（Ｒ） Ｓｅｒｖｌｅｔｓ，Ｅｎｔｅｒｐｒｉｓｅ Ｊａｖａ（Ｒ） Ｂｅａｎｓ，ＩＳＡＰＩ ｅｘｔｅｎｓｉｏｎｓ，Ａｃｔｉｖｅ Ｓｅｒｖｅｒ Ｐａｇｅ ｐｒｏｇｒａｍｓ等を含むが、これらに限定されない。
【００７７】
図１５は、ユーザが１以上のユーザオンラインアカウントへのアクセス保護レベルを規定できるように、ユーザ信用証明および要求されたポリシーを要求し、次いで、ユーザ信用証明および要求されたポリシーを保存する本発明を示す上位のフローチャートである。工程１５０２において、本発明は、ウェブ／アプリケーションサーバ２１４により提供された特定のオンラインアカウントを用いるために、ユーザがどのポリシーを提供するかを示すことを要求する。これはまた、ユーザ判定ポリシーを実施するように用いられた識別デバイスを、ユーザが決定することを可能にする。以下でさらに述べるように、ユーザは、ユーザオンラインアカウント全てに対して同じポリシーを示し得るか、または、それぞれのアカウントに対して異なるポリシーを用い得る。ユーザオンラインアカウントは、同じウェブ／アプリケーションサーバ２１４または異なるウェブ／アプリケーション２１４により提供され得る。示された（複数の）ポリシーに基づいて、本発明は、ユーザを、ポリシーを実行するために必要とされる信用証明（例えば、生物測定、パスワード等）を供給するように誘導する。オンラインまたはウェブアプリケーションのエンドユーザ認証サービスに提供するユーザ信用証明を保存することおよび管理することは、本発明の認証および登録機能から分離されている。実際、ユーザの所望のポリシーを獲得し、次いで、所望のポリシーに基づいて、要求される信用証明を獲得するのは、認証制御コンポーネント２０８である。次いで、制御は、工程１５０４に進む。
【００７８】
工程１５０４において、ユーザ管理コンポーネント２０７は、ユーザのオンラインアカウントおよびユーザ信用証明のそれぞれについてのユーザの所望のポリシーを認証制御コンポーネント２０８から受信する。
【００７９】
工程１５０６において、ユーザ管理コンポーネント２０７は、受信されたユーザ信用証明および所望のポリシーを中心位置に保存する。認証サーバ２０２のデータベースは、本発明のユーザ管理機能の中心位置またはデータ中心として機能し得る。以下で詳細に述べるように、本発明を簡易化させるように、この情報が編集され得る多くの異なる方法がある。図１５のフローチャートは、この点で終わる。
【００８０】
本発明が、複数の無関係のウェブアプリケーションに１つのユーザを結合するように、中心的なデータ中心（ｃｅｎｔｒａｌ ｄａｔａ ｃｅｎｔｅｒ）にてデータを、どのように編集し得るかを以下で説明する。本発明は、ＩＤを各ユーザに割り当て、ユーザを一様に識別する。本発明の１実施形態において、このＩＤは、本発明に対してユーザを一意的に識別するグローバルユニークＩＤ（またはＧＵＤＩＤ）である。例えば、ユーザ「Ｊｏｈｎ Ｓｍｉｔｈ」が、いくつかの異なるウェブアプリケーションに関わるアカウントを有すると仮定する。これらのウェブアプリケーションは、日計り取引に対するｔｒａｄｅｌｉｎｅ．ｃｏｍ、薬物処方をファイルしているｄｒｕｇｏｎｌｉｎｅ．ｃｏｍ、および、銀行を必要とするｂａｎｋｏｎｌｉｎｅ．ｃｏｍを含む。これらのウェブアプリケーションそれぞれは、他のアプリケーションが存在することを潜在的に分かり得ないことを留意することが重要である。（これらが共通に有する１つのことは、ユーザがユーザのアカウントに割り当てられた保護レベルを規定することができるように、これらの全てが本発明と共に協働することである。）それゆえ、ウェブアプリケーションのそれぞれが一意的なユーザ名をＪｏｈｎ Ｓｍｉｔｈに提供してきた。例えば、ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍは、Ｊｏｈｎ Ｓｍｉｔｈに「ｊｓｍｉｔｈ．ｕｓｅｒ．ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍ」のユーザ名を提供し、ｂａｎｋｏｎｌｉｎｅ．ｃｏｍは、「ｊｏｈｎ１２３４．ａｃｃｏｕｎｔ．ｂａｎｋｏｎｌｉｎｅ．ｃｏｍ」のユーザ名を提供してきたと仮定する。本発明は、Ｊｏｈｎ ＳｍｉｔｈのＧＵＩＤに無関係のユーザ名のそれぞれをマッピングしなければならない。例示の目的のために、Ｊｏｈｎ ＳｍｉｔｈのＧＵＩＤは、「１２３４−５６７８−９１０１」であると仮定する。これが為され得る多くの方法がある。１方法は、次の表１により表示される。
【００８１】
【表１】
表１に示されるように、本発明は、同じＧＵＩＤにＪｏｈｎ Ｓｍｉｔｈのアカウントのそれぞれを同じＧＵＩＤにマッピングし得る。次いで、次の表２は、Ｊｏｈｎ ＳｍｉｔｈのＧＵＩＤをポリシーにマッピングするように使用され得る。ポリシーは、ユーザを認証するように用いられる。（Ｊｏｈｎ Ｓｍｉｔｈは、自分のアカウントのそれぞれの同じポリシーを使用することを決定したと仮定したと仮定する）
【００８２】
【表２】
本発明の別の実施形態において、ユーザは、自分のＧＵＩＤを知らされている。これに関する利点は、ウェブ／アプリケーションサーバ２１４と関わるアカウントの自分のユーザ名の代わりに、ユーザが自分のＧＵＩＤを入力できることである。もちろん、これには、ＧＵＩＤを認識するいくらかのインテリジェンスを、ウェブ／アプリケーションサーバ２１４に必要とする。これへの利得は、表１が必要とされ得ないことである。本発明は、ＧＵＩＤのポリシーを決定するように、表２に直接に辿りつけ得る。
【００８３】
本発明の別の実施形態において、Ｊｏｈｎ Ｓｍｉｔｈは、彼のアカウントのそれぞれに対して異なったポリシーを用いることを望んでいる。表３には、本発明によって、このことがどのようになされるかを示す。ここでは、上述の表２に類似した表は削除されている。
【００８４】
【表３】
表２および表３のポリシーＩＤは、本発明によってすでに規定され、認証サーバ２０２のデータベースに格納されたポリシーを表す。上述したように、ユーザは、ユーザのオンラインアカウントにもかかわらず同じポリシーを示し得、または各オンラインアカウントの異なるポリシーを使用し得る。従って、ＧＵＩＤはユーザポリシーと、１：１の関係またはｍ：ｎの関係を有し得る。本発明によって提供される所定のポリシーの特定の例は、ＯＲポリシー、ＡＮＤポリシー、ＣＯＮＴＩＮＧＥＮＴポリシー、ＲＡＮＤＯＭポリシー、ＴＨＲＥＳＨＯＬＤポリシー、多数ユーザポリシー、多数ロケーションポリシー、多数テンプレートポリシー、ユーザ依存性ポリシー、ユーザ限定ポリシー、およびコンピュータ／デバイス特定ポリシーを含む。本発明によってさらに、管理者は、他のポリシーを規定するか、設定することができる。これらの所定のポリシーと、管理者が他のポリシーを定義または設定する方法とが、同時係属中の米国特許出願第０９／２６４，７２６号および米国特許出願第０９／５１７，１２１号に詳細に説明される。ユーザ管理コンポーネント２０７のタスクは、図１３に関して、次に詳細に記載される。
【００８５】
図１３において、制御は工程１３０２で始まる。工程１３０２において、ユーザ管理コンポーネント２０７は、ウェブアプリケーションまたはオンラインアカウントのためのユーザ名を受信して、ユーザはアクセスしようと試みる。さらに、このユーザ名は、特定のウェブアプリケーションに関して、ユーザに固有のものである。次に、制御は工程１３０４に移動する。
【００８６】
工程１３０４において、ユーザ管理コンポーネント２０７は本発明のユーザのＧＵＩＤにユーザ名をマッピングする。さらに、このことは、上述の表１などの表を利用することによってなされ得る。次に、制御は工程１３０６に移動する。
【００８７】
工程１３０６において、ユーザ管理コンポーネント２０７は本発明のユーザのポリシー（または、ポリシーオブジェクト）にユーザのＧＵＩＤをマッピングする。さらに、このことは、上述の表２などの表を利用することによってなされ得る。次に、制御は工程１３０８に移動する。
【００８８】
工程１３０８において、ユーザ管理コンポーネント２０７は、ユーザがオンラインアカウントまたはウェブアプリケーションに認証しようと試みるとき、用いるポリシーを認証サーバ２０２に示す。図１３のフローチャートはこの点で終了する。
【００８９】
本発明の実施形態は、上述の本発明の機能的なコンポーネントの全てを含むが、いくつか（または全て）のコンポーネントが組み合わされても、本発明の範囲から逸脱しない。
【００９０】
（Ｃ．本発明の例示の実施）
（１．例示の環境）
認証サーバ２０２、コミュニケーションコンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７、認証制御コンポーネント２０８、加入ステーション、管理ステーションおよび衛星管理ステーションは、図３に示されるようにコンピュータ３００を使用して実行され得る。明らかに、１つ以上のこれらの機能的なコンポーネントは、単一のコンピュータ３００上で実行され得る。
【００９１】
本発明は、ハードウェア、ソフトウェア、またはそれの組み合わせを用いて実行され得、コンピュータシステムまたは他のプロセシングシステムにおいて実行され得る。実際に、１実施において、本発明は、明細書中で記載される機能性を達成できる１つ以上のコンピュータシステムに方向付けられている。コンピュータシステム３００は、例えばプロセッサ３０４のように、１つ以上のプロセッサを含んでいる。プロセッサ３０４は、コンピュータバス３０６に接続される。多様なソフトウェアの実施形態は、この例示のコンピュータシステムの点に関して記載される。この記載を読んだ後、他のコンピュータシステムおよび／またはコンピュータアーキテクチャを用いて本発明を実現する方法は、当業者にとって明白になるだろう。
【００９２】
コンピュータシステム３００は、メインメモリ３０８、好適にはランダムアクセスメモリ（ＲＡＭ）および２次メモリ３１０をさらに含む。２次メモリ３１０は、例えば、フロッピー（Ｒ）ディスクドライブ、磁気テープドライブ、光学ディスクドライブなどのハードディスクドライブ３１２および／またはリムーバブル格納ドライブ３１４を含み得る。このリムーバブル格納ドライブ３１４は、周知の方法で、リムーバブル格納ユニット３１８から読み出し、および／または、リムーバブル格納ユニット３１８へ書き込む。リムーバブル格納ユニット３１８は、リムーバブル格納ドライブ３１４によって読み書きされるフロッピー（Ｒ）ディスク、磁気テープ、光学ディスクなどに相当する。明確なことに、リムーバブル格納ユニット３１８は、コンピュータ使用可能格納媒体を含む。この格納媒体は、その中に格納されたコンピュータソフトウェアおよびデータを有している。
【００９３】
別の実施形態において、セカンダリメモリ３１０は、コンピュータプログラムまたは他の命令がコンピュータシステム３００中へロードすることができるほかの類似の手段を含み得る。このような手段は、例えば、リムーバブル格納ユニットット３２２およびインターフェース３２０を含み得る。このような例は、プログラムカートリッジおよびカードリッジインターフェース（例えば、ビデオゲームデバイスで構成されるようなもの）、リムーバブルメモリチップ（例えば、ＥＰＲＯＭまたはＰＲＯＭ）および関連したソケット、ならびに、ソフトウェアおよびデータが、リムーバブル格納ユニット３１８からコンピュータシステム３００へ送信され得る、他のリムーバブル格納ユニット３２２およびインターフェース３２０を含み得る。
【００９４】
コンピュータシステム３００はさらに、コミュニケーションインターフェース３２４を含み得る。コミュニケーションインターフェース３２４により、ソフトウェアおよびデータは、コンピュータシステム３００と外部デバイスとの間に転送される。コミュニケーションインターフェース３２４の例示は、モデム、ネットワークインターフェース（例えば、イーサネット（Ｒ）カード）、コミュニケーションポート、ＰＣＭＣＩＡスロットおよびＰＣＭＣＩＡカードなどを含み得る。コミュニケーションインターフェース３２４を介して転送されるソフトウェアおよびデータは、電気的、電磁気的、またはコミュニケーションインターフェース３２４によって受信されることができる他の信号になり得る信号の形式をとる。これらの信号３２６は、チャネル３２８を介してコミュニケーションインターフェースに提供される。このチャネル３２８は信号３２６を伝えて、ワイヤまたはケーブル、光ファイバー、電話線、携帯電話リンク、ＲＦリンクおよび他のコミュニケーションチャネルを用いて実行され得る。
【００９５】
本明細書において、用語「コンピュータプログラム媒体」および「コンピュータ使用可能媒体」は、概して、例えば、リムーバブル格納デバイス３１８、ハードディスク３１２にインストールされたハードディスクおよび信号３２６といった媒体を示すために用いられ得る。これらのコンピュータプログラム製品は、コンピュータシステム３００にソフトウェアを提供するための方法である。
【００９６】
コンピュータプログラム（またはコンピュータ制御論理とも言う）は、メインメモリおよび／またはセカンダリメモリ３１０に格納される。コンピュータプログラムはまた、コンピュータインタフェース３２４を介して受信され得る。コンピュータプログラムの実行時に、このようなコンピュータプログラムにより、コンピュータシステム３００は、本明細書に記載されるような本発明の特徴を実施することができる。特に、コンピュータプログラムの実行時に、コンピュータプログラムにより、プロセッサ３０４は、本発明の特徴を実施することができる。従って、このようなコンピュータプログラムは、コンピュータシステム３００の制御に相当する。
【００９７】
ソフトウェアを用いて本発明が実行される実施形態において、ソフトウェアは、コンピュータプログラム製品に格納され、リムーバブル格納ドライブ３１４、ハードディスク３１２、またはコミュニケーションインターフェース３２４を用いてコンピュータシステム中にロードされ得る。この制御論理語（ソフトウェア）がプロセッサ３０４による実行時に、この制御論理語により、プロセッサ３０４は、本明細書に記載されるような本発明の特徴を実施することができる。
【００９８】
別の実施形態において、本発明は、例えば、特定用途向け集積回路（ＡＳＩＣ）といったハードウェアコンポーネントを用いて、第１に、ハードウェアで実現される。本明細書に記載される機能を実施するために、ハードウェアの状態機械の実現は、当業者（単数または複数）に明白になる。さらに別の実施形態において、本発明はハードウェアおよびソフトウェアの両方の組み合わせを用いて実現される。
【００９９】
（２．例示のネットワークアークテクチャおよびプログラミング言語）
上述のように、実行時のコンピュータプログラムにより、コンピュータ３０２は、本明細書に記載されるような本発明の機能を実施することができる。実施形態において、本発明は、オブジェクト指向のプログラミング言語で書かれるコンピュータプログラムを用いて実行される。オブジェクト指向のプログラミング言語は、プログラマーが１つのデータ構造によるデータタイプだけでなく、データ構造に利用され得る動作（機能）タイプもまた定義されるようなタイプのプログラムである。このように、データ構造は、データおよび機能を共に含むオブジェクトになる。さらに、プログラマーは、あるオブジェクトと別のオブジェクトとの間の関係を生成する。例えば、オブジェクトは、他のオブジェクトからの特徴を受け継ぎ得る。
【０１００】
手続き型プログラミング技術を超えたオブジェクト指向プログラミング技術の原理的な利点の１つは、それらにより、新しいタイプのオブジェクトが追加される場合に、プログラマーが必要とされるモジュールを作成できることである。プログラマーは、既存のオブジェクトからのその多くの特徴を受け継ぐ新しいオブジェクトを容易に作成できる。これにより、オブジェクト指向プログラムを変更することを容易にする。オブジェクト指向プログラミングを実行するためには、オブジェクト指向プログラミング言語（ＯＯＰＬ）が必要とされる。Ｃ＋＋およびＳｍａｌｌｔａｌｋは、よりポピュラーな言語の２つである。また、Ｐａｓｃａｌのオブジェクト指向バージョンもまた存在する。
【０１０１】
本発明の１実施形態がオブジェクト指向プログラミング言語で記述されたコンピュータプログラムを用いて実施される場合、本発明はまた、手続き型プログラミング言語等を用いて実施され得る。
【０１０２】
上述したように、１以上のコンピュータ３０２がネットワークによって接続される。本発明の１実施形態は、ピア−トゥ−ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークを用いる。ピア−トゥ−ピアオブジェクトアーキテクチャが理解される前に、クライアント／サーバアーキテクチャと呼ばれるタイプのネットワークアーキテクチャが説明される必要がある。クライアント／サーバアーキテクチャは、ネットワーク上の各コンピュータまたはプロセスがクライアントまたはサーバのどちらかであるネットワークアーキテクチャである。サーバは、ディスクドライブ（ファイルサーバ等）、プリンター（プリントサーバ）、アプリケーション／機能またはネットワークトラフィック（ネットワークサーバ）を管理するコンピュータまたはプロセスである。実際、サーバは、アプリケーションにリソースを割り当てる任意のコンピュータまたはデバイスである。クライアントは、パーソナルコンピュータまたはサークステーションであり、このパーソナルコンピュータまたはサークステーションで、ユーザがアプリケーションを使用し得る。クライアントは、ファイル、デバイスのリソースのサーバ、機能の実行および処理電力さえも依存する。
【０１０３】
上述したように、本発明の１実施形態は、ピア−ツゥ−ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークを用いる。ピア−ツゥ−ピアオブジェクトアーキテクチャでは、ネットワークにおける各コンピュータが等価なキャパシティおよび責任を有する。これは、いくつかのコンピュータが他のコンピュータに貢献することのみに用いられるクライアント／サーバアーキテクチャと異なる。それゆえ、本発明の１実施形態では、全てのコンピュータ３０２は、サーバまたはクライアントのどちらかとして動作し得る。サーバ２０２に保存されるエンジンおよびデータは、次に説明される。
【０１０４】
（Ｄ．本発明のエンジンおよびデータ）
上述のように、図２の認証サーバ２０２は、本発明のエンジンである。本発明の一実施形態において、ユーザが本発明によって認証されるかどうかを最終的に判定するのは、（ポリシーを実行する）このエンジンである。加えて、認証サーバ２０２は、本発明によってアクセスされたデータを格納する。認証サーバ２０２内に格納されたデータが形成され得る方法は、データベースとする方法及びディレクトリとする方法を含んでいる。データベースの形成およびディレクトリの形成の双方が、関連する同時係属中の米国特許出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に記載されている。
【０１０５】
さらに、認証サーバ２０２内に格納された種々のデータの集合は、管理者が認証サーバ２０２を最初にセットアップし得る、典型的なステップのシーケンスに沿って、関連する同時係属米国特許出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に記載されている。認証サーバ２０２内に格納された典型的なデータは、テンプレート、ポリシー（またはポリシーＩＤ）、グループ、デバイスＩＤ、ユーザＩＤ、コンピュータＩＤおよびアプリケーションＩＤを含んでいる（ただし、これらに限定されない）。付加データは、ウェブアプリケーション用のユーザ独自のユーザネームをユーザのＧＵＩＤに、その後、ユーザを特定するポリシーにマッピングする一つ以上のテーブルを含み得る。
【０１０６】
一つ以上の唯一のテンプレートは、ユーザが異なる識別デバイス上に登録する各回毎に、認証サーバ２０２に形成され、且つ、格納される。テンプレートは特定の生物測定デバイスに対するユーザ独自の測定値（これは、次に、デバイスがユーザを識別することを試みている場合に、ユーザの「生きた」測定値に対してマッチングするために用いられる）または非生物デバイス用のパスワード等を格納する。
【０１０７】
本発明のポリシーは、ユーザが認証サーバ２０２によって認証されることになっている方法または方式を判定する。本発明によって提供された事前に規定されたポリシーの具体例としては、ＯＲポリシー、ＡＮＤポリシー、ＣＯＮＴＥＮＧＥＮＴポリシー、ＲＡＮＤＯＭポリシー、ＴＨＲＥＳＨＯＬＤポリシー、多数ユーザポリシー、多数ロケーションポリシー、多数テンプレートポリシー、ユーザ依存ポリシー、ロケーション制限ポリシー、およびコンピュータ／デバイス固有のポリシーが含まれる。本発明は、さらに、管理者が他のポリシーを規定または形成することを許容する。
【０１０８】
各事前規定されたポリシーは、そのポリシーに関連したデバイスのリストを有している。デバイスのリストは、特定のポリシーを実行するために用いられている識別デバイスを確認する。デバイスのリスト内の各デバイスは、関連する閾値およびタイムアウト値（これは、生物測定デバイスに関して典型的に真である）を有し得る。閾値（例えば、偽である容認レート）は、ユーザがデバイスを通過するために、デバイスが判定しなければならない識別レベルを示す。タイムアウト値は、デバイスがユーザを、閾値によって確認される識別レベルまで確認しなければならない時間を示す。
【０１０９】
本発明内のグループは、ウェブ／アプリケーションサーバ２１４上に格納された同じセットの情報にアクセスする必要がある、一以上のユーザを結びつける論理的な方式である。例えば、インターネット内の全てのユーザが、ユーザが株式を取引することを許容するオンラインアプリケーションのログインページをアクセスすることが許容され得る。同じオンラインアプリケーションに対して、ユーザおよびそのユーザによって特定される他のユーザのみが、ユーザ内密の情報にアクセスすることを許容されたグループ内に存在する。したがって、グループの一つが「ＵＳＲ２４４５８グループ」として規定され得る。ここで、ユーザが「ＵＳＲ２４４５８グループ」に入れられた場合、該当するユーザ（一旦、本発明によって認証される）は、「ＵＳＲ２４４５８グループ」内の全ての他のユーザと同じリソースにアクセスする。
【０１１０】
各ユーザは、一つ以上のグループに入れられ得る。ユーザが、特定のグループ内の情報にアクセスを得ること試みる場合、ユーザは、特定のグループに関連するいずれかのポリシーによって認証されなければならない。
【０１１１】
デバイスＩＤは、識別デバイスを確認する。各識別デバイスは、独自ＩＤを有している。このため、デバイスＩＤの集合は、本発明が、インターネット内の通信プロトコル可能クライアント（ウェブブラウザ）に接続された各識別デバイスを独自に確認する許容する。同様に、ユーザＩＤは、本発明を利用しているユーザを独自に確認する。ユーザを認証し、遠隔からユーザを登録するための、本発明のコンポーネント間のメッセージの流れは、次のセクションＥおよびセクションＦにおいて、それぞれ記載される。
【０１１２】
（Ｅ．本発明による認証のためのコンポーネント間のメッセージフロー）
図１１は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザを認証するための、本発明のコンポーネント間の高水準メッセージフローを示す。ユーザが、本発明のサービスを利用しているウェブサイトまたはウェブアプリケーションにアクセスしようと試みる場合、登録プロセス中に、このユーザは、ユーザがすでに登録している「ユーザ名」を入力するよう促される。フロー線１１０２で示されるように、この「ユーザ名」がフィルタ２０６に送られる。
【０１１３】
フィルタ２０６が「ユーザ名」を受け取ると、フィルタ２０６は、フロー線１１０４で示されるように、データベースに格納されているその「ユーザ名」のポリシーおよびテンプレート（または認定書）を取り出すためのリクエストを、認証サーバ２０２に（通信コンポーネント２０４を介して）送る。
【０１１４】
認証サーバ２０２は、フロー線１１０６で示されるように、「ユーザ名」のポリシーおよびテンプレートを取り出し、それらを（通信コンポーネント２０４を介して）フィルタ２０６に返す。
【０１１５】
ポリシーおよびテンプレートに基づいて、フィルタ２０６は、フロー線１１０８で示されるように、ユーザにユーザの認定書を示すように要求する。ここで、認証制御コンポーネント２０８は、ユーザを任意の必須生物測定獲得／マッチングプロセスへと導く。
【０１１６】
その後、認証制御コンポーネント２０８は、フロー線１１１０で示されるように、測定結果をフィルタ２０６に送る。フィルタ２０６は、フロー線１１１２で示されるように、これらの測定結果を（通信コンポーネント２０４を介して）認証サーバ２０２に転送する。
【０１１７】
次いで、ユーザのポリシーに基づいて、認証サーバ２０２は、ユーザが要求する特定の情報にアクセスするために、マッチングが十分良好であったか、または、（複数のファクタによる認証またはポリシーの場合と同様に）さらなる認定書を必要とするかを判定する。複数のファクタによる認証が必要な場合には、フロー線１１０６〜１１１２が、必要に応じて何度も繰り返される。
【０１１８】
認証サーバがユーザのポリシーを実行し、ユーザが認証されたかどうかを判定することができると、通信コンポーネント２０４は、フロー線１１１４で示されるように、結果をフィルタ２０６に転送する。ここで、ユーザが認証されると、フィルタ２０６は、ウェブ／アプリケーションサーバ２１４と対話して、ユーザに、ユーザが要求する情報にアクセスすることを許可する。
【０１１９】
ユーザは、そのセッション中（すなわち、ユーザがウェブブラウザ２１２を閉じるまで）、ウェブアプリケーションまたはウェブサイトを使用することができる。したがって、フィルタ２０６によって、フロー線１１１６で示されるように、ユーザは、自身が要求する情報にアクセスすることを許可されるか、または、拒否される。本発明の遠隔登録のためのコンポーネント間のメッセージフローを次に説明する。
【０１２０】
（Ｆ．本発明による遠隔登録のためのコンポーネント間のメッセージフロー） 図１２は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザを遠隔登録するための、本発明のコンポーネント間の高水準メッセージフローを示す。遠隔登録のためのメッセージフローは、認証のためのメッセージフローと極めて類似している。登録アプリケーションは、ユーザとの対話を管理する。登録アプリケーションそのものを用いてユーザを認証する場合、本発明によるいくつかの技術が用いられ得る。例えば、アプリケーションまたはウェブサイトにアクセスするために、今日ユーザが用いる既存のユーザ名とパスワードとの組み合わせが使用され得る。別の例では、ユーザ用に生成され、ユーザに（電子的またはその他の方法で）送られ得る１回限りのパスワードまたはＰＩＮである。いずれの場合にも、（図１０を参照して上述したように）登録オブジェクトは、ユーザの認証を１回だけ行って、その後、ユーザのコンピュータに認証制御コンポーネント２０８をダウンロードする。
【０１２１】
図１２を参照して、ユーザは、フロー線１２０２で示されるように、１回限りのパスワードまたはＰＩＮをフィルタ２０６に発信する。
【０１２２】
次いで、フィルタ２０６は、フロー線１２０４で示されるように、登録オブジェクトによってユーザを１回だけ認証することを要求する。
【０１２３】
フロー線１２０６で示されるように、１回だけの認証結果をフィルタ２０６に返す。
【０１２４】
フィルタ２０６は、フロー線１２０８で示されるように、この要求を認証制御コンポーネント２０８に転送する。
【０１２５】
認証制御コンポーネント２０８は、フロー線１２１０で示されるように、（登録アプリケーションを介して）ユーザから必須の生物測定を獲得し、その後、この獲得結果をフォイルタ２０６に知らせる。
【０１２６】
その後、この獲得結果は、フロー線１２１２で示されるように、フィルタ２０６から登録オブジェクトに転送され、認証サーバ２０２に結果が格納される。本発明では、この時点でユーザが登録される。本発明のコンポーネントＡＰＩおよび拡張性を次に説明する。
【０１２７】
（Ｇ．本発明によるユーザ管理のためのコンポーネント間のメッセージフロー）
図１４は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザに統合型認証サービスを提供するための、本発明のコンポーネント間の高水準メッセージフローを示す。ユーザが、本発明のサービスを用いているウェブ／アプリケーションサーバ２１４によって提供されたアカウントにアクセスを試みる場合、ユーザは、そのアカウントに対してユーザが登録した「ユーザ名」（例えば、「ｊｓｍｉｔｈ．ｕｓｅｒ．ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍ」）を入力するよう促される。この「ユーザ名」は、フロー線１４０２で示されるように、フィルタ２０６に送られる。
【０１２８】
フィルタ２０６が「ユーザ名」を受け取ると、フィルタ２０６は、フロー線１４０４で示されるように、「ユーザ名」をユーザ管理コンポーネント２０７に転送する。ここで、ユーザ管理コンポーネント２０７は、ユーザを認証するために使用するＧＵＩＤおよびポリシー（これは、ポリシーを実行するに必要な任意の必須識別デバイスを含む）を決定する。
【０１２９】
その後、ユーザ管理コンポーネント２０７は、フロー線１４０６で示されるように、ポリシーを認証サーバ２０２に転送する。
【０１３０】
次いで、認証サーバ２０２は、フロー線１４０８で示されるように、ユーザ管理コンポーネント２０７によってその認証サーバ２０２に提供されたポリシーを用いて通常通りの認証を行う。
【０１３１】
（Ｈ．本発明のコンポーネントＡＰＩおよび拡張性）
サーバ側コンポーネント（すなわち、認証サーバ２０２および通信コンポーネント２０４）、フィルタ２０６および登録アプリケーションは、ウェブを作動させるクライアントに良好に規定されたインターフェースを提示する。これらのインターフェースは、ＨＴＴＰ ＧＥＴまたはＰＯＳＴ法を用いて要求され得るＵＲＬのセットからなる。ＡＰＩおよびそれに関連する以下に示す規約は、これらの対話をどのように実現するか示す単なる例示にすぎない。これらの例は、本発明を制限することを意図していない。すべてのＵＲＬリクエストは、以下の構文に従う必要があり得る。
ＭＥＴＨＯＤ ＨＴＴＰ法のタイプであり、ＧＥＴまたはＰＯＳＴであり得る
ＨＥＡＤＥＲ ＨＴＴＰのヘッダであり、フォーマットは名前＝値である
ＢＯＤＹ ＨＴＴＰリクエストの本体であり、一連の名前＝値の対、バイナリデータまたはその両方であり得る
＜ｆｏｏｂａｒ＞ 任意の要素を定義する
ｆｏｏ／ｂａｒ 「ｆｏｏ」または「ｂａｒ」を定義する。
【０１３２】
サーバ側コンポーネント、フィルタ２０６および登録アプリケーションは、特定のフォーマットのリクエストを要求する。これらのリクエストに対する応答もまた、特定のフォーマットに従う。これにより、拡張型アーキテクチャが可能となり、新たなウェブを作動させるサービスを既存の設備につなぐことができる。ＢＮＦは「バッカス記法」の略称である。このＢＮＦは、プログラミング言語、コマンドセット等の構文を特定するために用いられるメタ構文法である。以下は、本発明のリクエストのＢＮＦである。これは、作成されるべきオブジェクトのタイプ、および、そのオブジェクトに送られるデータのＩＤを含む。
【０１３３】
【数１】
ここで、上述の同じ方法を用いれば、ＵＲＬＳの異なるセットにも関わらず、他のウェブ機能を認証サーバ２０２に追加可能にするといったアーキテクチャの拡張を容易に行うことができる。他の機能のこのような例は、認証サーバ２０２の遠隔管理を含む。
【０１３４】
（Ｉ．結論）
本発明の種々の実施形態を上述してきたが、これらの実施形態は例示を目的としており制限するものではないことを理解されたい。当業者であれば、本発明の意図および範囲から逸脱することなく、実施形態における形態および細部の種々の変更が為され得ることを理解する。このことは、後に発展し得る関連分野における技術および用語を考慮した場合に特に当てはまる。したがって、本発明は、上述の例示的な実施形態のいずれによっても制限されるのではなく、上掲の特許請求の範囲およびその均等物によってのみ規定されるべきである。
【図面の簡単な説明】
【図１】
図１は、インターネットに接続された複数のクライアントおよびサーバを示すネットワークのブロック図である。
【図２】
図２は、本発明の実施形態における動作環境の例を示すブロック図である。
【図３】
図３は、本発明の実施形態における実施コンポーネントとして用いられ得るコンピュータの例を示す。
【図４】
図４は、本発明の実施形態における、通信プロトコルが無線通信プロトコルであるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図５Ａ】
図５Ａは、本発明の実施形態における、通信プロトコルがローカルネットワークまたはイントラネット用であるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図５Ｂ】
図５Ｂは、本発明の実施形態における、通信プロトコルがインターネット用であるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図６】
図６は、本発明の実施形態における認証機能の傾聴（ｌｉｓｔｅｎ）オブジェクトのタスクを示す。
【図７】
図７は、本発明の実施形態における認証機能のコム（ｃｏｍｍ）オブジェクトのタスクを示す。
【図８】
図８は、本発明の実施形態における認証機能の認証オブジェクトのタスクを示す。
【図９】
図９は、本発明の実施形態における遠隔登録機能の傾聴オブジェクトのタスクを示す。
【図１０】
図１０は、本発明の実施形態における遠隔登録機能の登録オブジェクトのタスクを示す。
【図１１】
図１１は、本発明の実施形態における、ユーザがウェブブラウザを使用することを認証するための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１２】
図１２は、本発明の実施形態における、ウェブブラウザ２１２を用いるユーザの遠隔からの登録のための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１３】
図１３は、本発明の実施形態におけるユーザ管理コンポーネントのタスクを示す。
【図１４】
図１４は、本発明の実施形態における、ウェブブラウザを用いるユーザ管理のための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１５】
図１５は、本発明の実施形態における、ユーザ資格を要求し、次にユーザ資格を格納し、ユーザが１つ以上のユーザのオンラインアプリケーションアカウントへのアクセスの保護のレベルを定義することを可能にするためのポリシーを要求する本発明を示すハイレベルフローチャートである。
（発明の背景）
（発明の分野）
本発明は概して情報へのアクセスを制御するためのシステム、方法およびコンピュータプログラム製品に関し、より詳細には、１つ以上のオンライン（またはウェブ）アプリケーションの登録されたエンドユーザを設定するアプリケーションサービスプロバイダー（ＡＳＰ）における統合された認証サービスを提供する。
【０００２】
（関連技術）
現在の経済にとって高速な情報へのアクセスおよび交流が重要であることは決して大げさなことではない。このことは、インターネット、イントラネット、情報の無線交流等の人気の急激な上昇を説明する。インターネットは、量が増大する情報また改変する情報に電気的にアクセスするために用いられ得る相互接続されたコンピュータネットワークのワールド−ワイドセットである。今日のインターネットは、公開された情報または機密でない情報へのアクセスまたは交流において特によく動作する。
【０００３】
インターネット上の情報へアクセスする１つの方法は、Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ（ｗｗｗまたは“ｗｅｂ”）として知られている。ウェブは、分配するハイパーメディアシステムであり、クライアントサーバをベースとする情報提示システムとして機能する。ウェブは、Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ（ＨＴＭＬ）と呼ばれる言語にフォーマットされたドキュメントをサポートする。ＨＴＭＬドキュメントは、グラフィック、オーディオ、ビデオファイル等だけでなく他のドキュメントへのリンクもサポートする。さらに、ＨＴＭＬは、ウェブページがどのようにフォーマットされ表示されるかを制御する。コンピュータユーザは汎用コンピュータ（“クライアント”と呼ぶ）を使用し、ページのユニフォームリソースロケーター（ＵＲＬ）を特定することにより、ウェブ（またはＨＴＭＬ）にアクセスし得る。図１は、インターネットに接続された複数のクライアントおよびサーバを示すネットワークブロック図である。
【０００４】
インターネットの人気には、インターネットがオファーしなければならない事項をいかなるユーザでも利用することが可能となるように開発されているツールおよびプロトコルの一部の貢献により得る。これらはウェブブラウザ、ＨＴＴＰ、Ｓ−ＨＴＴＰ、クッキーおよびＳＳＬを含むが、これらに限定されない。これらのそれぞれは以下でより詳細に述べられる。
【０００５】
ウェブブラウザは、ユーザがウェブページを見付け表示することを簡単にするソフトウェアアプリケーションである。ウェブブラウザの例としては、Ｎｅｔｓｃａｐｅ ＮａｖｉｇａｔｏｒおよびＭｉｃｒｏｓｏｆｔ Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒがある。本明細書中で開示するように、ウェブブラウザはイネーブルされたクライアントとの通信プロトコル（ｃｏｍｍｕｎｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ−ｅｎａｂｌｅｄ ｃｌｉｅｎｔ）の一例である。イネーブルされたクライアントとの通信プロトコルの他の例は、ＴＣＰ／ＩＰクライアントおよび無線クライアントであるが、これらに限定されない。
【０００６】
ウェブにおいて用いられる通常のプロトコルは、Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ（ＨＴＴＰ）である。ＨＴＴＰは、メッセージがどのようにフォーマットされ送信されるか、およびウェブサーバおよびブラウザが様々なコマンドに応答してどのように動作するかを定義する。例えば、ユーザが彼（または彼女）のブラウザにＵＲＬを入力する場合、これはＨＴＴＰコマンドをウェブサーバに実際に送信し、要求されたウェブページをフェッチし送信するよう指令する。
【０００７】
ＨＴＴＰは、無国籍プロトコルと呼ばれる。なぜなら、各コマンドは、各コマンドの前または後にくるコマンドの知識無しに独立に実行されるからである。このことは、ユーザの入力に聡明に応答するウェブサイトを実行することがなぜ難しいかということに対する１つの理由である。ＨＴＴＰのこの特徴は、ＡｃｔｉｖｅＸ、Ｊａｖａ（Ｒ）、Ｊａｖａ（Ｒ）Ｓｃｒｉｐｔおよびクッキーを含むＨＴＴＰを相補する複数の新しい技術において対応されている。
【０００８】
例えばクッキーは、ウェブサーバによってウェブブラウザに提供されるメッセージである。クッキーは、サーバ側の接続がユーザ側の接続上において情報を格納および読み出すことの両方に用いられることが可能な一般的なメカニズムである。これは、単純に、持続的にクライアント側の状態がウェブベースのクライアント／サーバアプリケーションの能力を顕著に伸ばすことを付加する。
【０００９】
サーバはまた、ＨＴＴＰオブジェクトがユーザに戻されるとき、ユーザが格納することになる状態情報の一部を送信し得る。状態オブジェクトはその状態が正当であるＵＲＬの範囲の説明を含む。その範囲内においてユーザによって作られる将来のいかなるＨＴＴＰの要求も、ユーザからサーバに戻る状態オブジェクトの現在の値の送信を含むことになる。状態オブジェクトはクッキーである。この単純なメカニズムは、新しい型のアプリケーションのホストをイネーブルにし、ウェブをベースとする環境について書き込むパワフルなツールを提供する。ショッピングアプリケーションは、現在選択されたユーザアイテム、料金サービスが登録された情報を送り返し得、次の接続時にユーザがユーザネーム（またはユーザＩＤ）を再び入力することから解放すること、サイトがユーザーコンピューター上のユーザ毎の好みを格納し、ユーザがそのサイトに接続されているときのいつでもそれらの好みを提供すること等についての情報を格納し得る。
【００１０】
ウェブ上で用いられる他の通常のプロトコルは、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ（ＳＳＬ）プロトコルである。ＳＳＬは、インターネットを介してプライベートドキュメントを送信するために用いられるプロトコルである。ＳＳＬは、特定のセッションのためのウェブブラウザのみが知っているプライベートセッションキーを使用することにより動作する。セッションキーは各セッションにおいて変化する。セッションキーはＳＳＬ接続を介して送信されるデータを暗号化するために用いられる。多くのウェブサイトは、ＳＳＬプロトコルを使用してクレジットカードナンバーのような秘密のユーザ情報を入手する。
【００１１】
ウェブ上で安全にデータを送信するための他のプロトコルはＳｅｃｕｒｅ ＨＴＴＰ（Ｓ−ＨＴＴＰ）である。ＳＳＬはどのような量のデータでも安全に送信することが出来るようにクライアントとサーバとの間の安全な接続をつくるのに対し、Ｓ−ＨＴＴＰは個々のメッセージを安全に送信できるように設計されている。従って、ＳＳＬおよびＳ−ＨＴＴＰは、競合技術よりもむしろ相補的であると見ることが出来る。
【００１２】
上述のように、現在の経済にとって高速な情報へのアクセスおよび交流が重要であることはけっして大げさなことではない。インターネットの人気は上述のウェブブラウザおよび様々なプロトコルを介して上昇している。（インターネットおよび無線通信の人気もまた、それぞれに対して特定であるプロトコルを介して上昇している）。インターネットを介した秘密でない情報の高速な交流はユーザによく役立っている。しかしながら、そこにはいくつかの問題が存在する。１つの問題は、インターネットを介した秘密の情報の保護である。他の問題は、ユーザがオンライン（またはウェブ）アプリケーションに申し込んで使用するときに、ユーザのインターネットを介した秘密の情報が秘密であることについての個々のユーザの快適なレベルを満足させることである。
【００１３】
ユーザの快適なレベルを満足させることの重要性は、秘密のユーザ情報へのアクセスまたは交流を必要とするインターネットを介してユーザへ提供されるアプリケーションまたはサービスとして高まっている。例えばそのようなアプリケーションまたはサービスは、ビジネス−ビジネスおよびビジネス−消費者−電子商取引、銀行、株式取引、買い物、個人コンテンツウェブサイトのようなオンラインアプリケーション等である。悪質なユーザへの秘密の情報の提供をさけるために、ユーザ（またはウェブブラウザのような通信プロトコルの使用可能なクライアント）は、ウェブアプリケーションにユーザがアクセスする前に認証する必要がある。簡単な情報へのアクセスおよび交流は全てのユーザにとって魅力的であり、ほとんどのユーザはまた、インターネット、イントラネット、無線ネットワーク等を介してアクセス可能なユーザの秘密の情報の安全性に対して関心を持っている。
【００１４】
情報へのアクセスおよび交流のためのインターネットの人気の上昇を相殺しないようにするために、情報のインターネットプロバイダは、十分な秘密の情報の保護と、インターネット上の簡単な情報へのアクセスおよび交流とのバランスをとる必要がある。さらに、ウェブアプリケーションの登録されたユーザは、十分なユーザの満足レベルの達成を確実にするために、ウェブアプリケーションによって管理されるユーザアカウントに提供される保護レベル上のいくつかの制御を行うべきである。また、ユーザは登録（すなわち彼または彼女への資格の提供）を一回のみ行うべきであり、その後これらの資格は全てのユーザのアカウントの認証に再利用されるべきである。
【００１５】
（発明の要旨）
情報へのアクセスを制御するシステム、方法およびコンピュータプログラム製品、より詳細には、１つ以上のオンラインアプリケーションの登録されたエンドユーザを設定するアプリケーションサービスプロバイダ（ＡＳＰ）における統合された認証サービスを提供する。
【００１６】
通信媒体を介してユーザが要求する情報にアクセスするように設定するＡＳＰにおいて、遠隔から登録し、認証し、統合された認証サービスを提供するシステムは、クライアント側コンポーネントを含む。また、システムに含まれるものとしては、通信媒体を介してクライアント側コンポーネントに接続されたフィルタ、および通信媒体を介してクライアント側コンポーネントに接続されたユーザ管理コンポーネントがある。ユーザ管理コンポーネントは、エンドユーザの資格の登録を１回とすることを可能にする。さらに、ユーザ管理コンポーネントは、エンドユーザが彼らのウェブアプリケーションアカウントへのアクセスの保護のレベルを定義することを可能にする。これは、特に本発明において用いられる構成であるアカウント、特定のユーザ資格、および引き続いてセットアップされるが同じユーザ資格を用いる構成であるアカウントを含むが、これに限定されない。次に、本発明は、それらの資格を再利用し、１つ以上の潜在的な関係のないウェブアプリケーションへのユーザの認証を行う。
【００１７】
システムはまた、通信媒体を介してフィルタおよびユーザ管理コンポーネントに接続されたサーバ側コンポーネントを含む。クライアント側コンポーネントは、ユーザ資格をキャプチャするプロセスを管理し、キャプチャプロセス結果をフィルタへ通信する、認証制御コンポーネントを含む。サーバ側コンポーネントは認証サーバを含む。認証サーバは、複数のユーザに関するデータおよびユーザに関する少なくとも１つのポリシーを格納する。ユーザポリシーは認証レベルを定義し、認証レベルはユーザが要求された情報へのアクセスが許可される確率を定義する。さらに、認証サーバはフィルタからユーザ資格を受取り、ユーザポリシーを実行することによりユーザを認証することを試み、ユーザが認証されたかどうかについてフィルタへ通信する。最後に、フィルタは、一旦ユーザが認証サーバによって認証されると、要求された情報を含むサーバと相互に作用する。
【００１８】
ユーザの遠隔からの登録を可能にするために、本発明は、認証制御コンポーネントおよび登録アプリケーションを含むクライアント側コンポーネントを提供する。登録アプリケーションは、ユーザ資格を提示するときに、ユーザと相互に作用するプレゼンテーションロジックの運用について責任がある。認証制御コンポーネントは、ユーザ資格をキャプチャするプロセスの管理およびキャプチャプロセスの結果のサーバ側コンポーネントへの通信について責任がある。
【００１９】
本発明は、添付の図面を参照して説明される。
【００２０】
（好適な実施形態の詳細な説明）
Ａ．発明の概要
本発明の発明者は、インターネットのような通信媒体を介した、エンドユーザによって定義される秘密の情報の保護と、同じ秘密の情報への容易なアクセスとの効果的なバランスを実現する解決方法が無かったことを認めた。本発明はインターネットを参照して開示されるが、本発明はインターネットに限定されることを意味しないことを留意しておくことが重要である。本発明はまた、イントラネット、無線ネットワーク等に適用される。
【００２１】
上述の問題についての本発明の全般的な解決方法としては３つある。第１には、インターネット上において有効な秘密の情報を保護することが可能な識別デバイスを適切に用いることである。
【００２２】
第２には、適切な識別デバイスを用いて、インターネットでアクセス可能な（またはウェブ）アプリケーションおよび／または秘密の情報を管理するサービスへのユーザの効果的な認証を提供する、システム、方法およびコンピュータプログラム製品を提供することである。
【００２３】
第３には、ウェブアプリケーションの登録されたエンドユーザが、彼らのアカウントへ提供される保護のレベルについてのいくつかの制御を有することを可能にし、適切なユーザの快適なレベルを実現することを確実にすることである。この要求は、全てのユーザ資格を中核的に格納し管理することを補助するユーザ管理アプリケーションを提供する。ユーザ管理アプリケーションは、エンドユーザを満足させ、ユーザの１回の登録（すなわち、彼または彼女の資格を提供すること）を可能にし、１つ以上のウェブアプリケーションの認証のために格納された資格が再使用されるように機能する。例えば、ユーザ“Ｊａｎｅ”は、ｄｉｓｃｏｕｎｔ ｖａｃａｔｉｏｎ．ｃｏｍと呼ばれる割引された休暇のパッケージを申し込むサービスのアカウントと、ｂａｎｋｏｎｌｉｎｅ．ｃｏｍと呼ばれるオンライン銀行機関のアカウントとを有するとみなす。Ｊａｎｅは割引された休暇のパッケージを示す彼女のアカウントよりも、彼女のオンラインバンキングアカウントへのアクセスについてより高いレベルの認証を望むことが予想される。従って、Ｊａｎｅは、彼女に指紋スキャナー、音声認識システムおよび顔認識システムをパスさせて彼女のアカウントへアクセスさせることを要求するポリシーを伴う彼女のオンラインバンキングアカウントの保護を決定し得る。それに対し、Ｊａｎｅは、彼女の割引された休暇のパッケージアカウントの保護は指紋スキャナを伴うことのみを望み得る。Ｊａｎｅは、本発明によって、指紋測定、音声測定および顔測定を含む、彼女の資格の１回の提供を要求される。その後、彼女の指紋測定は、彼女のオンラインバンキングアカウントおよび彼女の割引された休暇のアカウントの両方へのアクセスに再使用される。
【００２４】
１つの実施形態において、本発明は、アプリケーションサービスプロバイダ（ＡＳＰ）において実行される。概して、ＡＳＰは、中央データセンターからのワイドエリアネットワークを介したソフトウェアをベースにしたサービスおよび顧客の問題解決方法の管理および分配を行う第三者的存在である。
【００２５】
問題解決方法は、現在インターネットにより供給される容易で高速な情報のアクセスおよび交流に関するインターネットの人気を減少させてはいけない。より詳細には、本発明のシステムのアーキテクチャは、通信プロトコルのイネーブルされたクライアントの資格の遠隔からの登録のみでなく、認証された通信プロトコルのイネーブルされたクライアントのためのクロスプラットフォーム、ハイパフォーマンス、拡張性、高い拡張性のある問題解決方法を有さなければならない。
【００２６】
秘密の情報についての不適切な認証、および不適切な保護により、１０億ドルが、数千のＥ−コマースビジネス、インターネットデータコンテンツプロバイダ等において失われている。多くのユーザは、インターネットを介してユーザの秘密の情報がアクセス可能であることについて満足していない。従って、秘密の情報と関係する場合、これらのユーザは簡単に使えるインターネットをあきらめ得、より伝統的なタイプの、インターネットでアクセス不可能なビジネスおよびサービスという手段をとる。
【００２７】
今日、登録されたユーザの資格についてのようなウェブアプリケーションの制御は、彼または彼女のアカウントにアクセスするために提供されなければならない。ほとんどのウェブアプリケーションにおいて、要求される資格は僅かである。例えば、ほとんどのウェブアプリケーション／サービスは、ユーザをユーザネームおよびパスワードのみによって認証している。他の識別デバイスは、スマートカード、トークンおよび様々なバイオメトリックデバイス（例えば、指紋スキャナ、音声または顔認識システム等）を含むがそれに限定されない。さらに、ほとんどのウェブアプリケーションは、パスワードのみを含む“シングルサインオン”と呼ばれるプロセスを取り入れることにより、コストおよび秘密のデータの保護の複雑な運営を削減している。
【００２８】
シングルサインオンは、各ユーザに、１回のパスワード入力で（公的または秘密でない情報および秘密の情報を含む）全てのウェブアプリケーションリソースにアクセスすることを提供する。ほとんどのユーザは、１つのパスワードを書き残すことなく覚えることができる。この情報保護の運営の複雑さおよびコストを削減することで、ユーザの情報へのアクセスの取得が信頼性のあるものであることの可能性が削減される。パスワードを用いたシングルサインオンが秘密でない情報にアクセスするユーザの認証として受け入れられている間、パスワードを用いたシングルサインオンは、他のタイプの情報に追加して秘密の情報にアクセスするユーザの認証として受け入れられない。ユーザのアクセスの取得が信頼性のあるものであることの可能性は、異なるタイプの情報（例えば、秘密の情報と秘密でない情報）へのアクセスについて複数のパスワード、複数のトークン、複数のスマートカードまたは複数のバイオメトリックデバイスを用いることを各ユーザに強制することにより上昇させることが出来る。
【００２９】
Ｂ．システムアーキテクチャの概要
図２は、本発明の動作環境の一例を示すブロック図である。図２に示す動作環境の例は説明のみを目的としたものであり本発明を限定するものではないことを理解されたい。本明細書中で開示される動作環境の他の実現は、本明細書中に含まれる教示に基づいて当業者には明らかであり、本発明はそのような他の実現も対象にする。図２を参照して、認証サーバ２０２、通信コンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７、認証制御コンポーネント２０８、デバイス特定コンポーネント２１０、ウェブブラウザ２１２および１つ以上のウェブ／アプリケーションサーバ２１４が開示される。
【００３０】
本発明の実施の形態における機能的モジュールまたはコンポーネントは、認証サーバ２０２、通信コンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７および認証制御コンポーネント２０８を含む。本発明のコンポーネントはそれぞれ、以下のものを含むカテゴリに分類される：クライアント側コンポーネント、フィルタコンポーネント、ユーザ管理コンポーネント、サーバ側コンポーネントおよび遠隔登録コンポーネント。認証サーバ２０２および通信コンポーネント２０４は、サーバ側コンポーネントに分類される。デバイス特定コンポーネント２１０およびウェブブラウザ２１２に加えて認証制御コンポーネント２０８は、クライアント側コンポーネントに分類される。フィルタ２０６は、フィルタコンポーネントに分類される。ユーザ管理コンポーネント２０７はユーザ管理コンポーネントに分類される。最後に、認証制御コンポーネント２０８および通信コンポーネント２０４は、遠隔登録コンポーネントに分類される。
【００３１】
本発明の１つの実施形態において、サーバ側コンポーネントおよび遠隔登録コンポーネントは、独立したプラットフォームとして設計され、それらとの通信がスタンダードで公開されたプロトコル（例えば、ＨＴＴＰプロトコル（ＲＦＣ ２０６８））を介して実施されることのみを要求する。認証制御コンポーネント２０８は、クライアント側コンポーネントおよび遠隔制御コンポーネントの両方に分類されることに留意されたい。さらに、通信コンポーネント２０４は、サーバ側コンポーネントおよび遠隔制御コンポーネントの両方に分類される。本発明の異なる分類（または機能）におけるこれらのコンポーネントの再使用は、オブジェクト指向型プログラミング言語におけるコンポーネントの実行の結果である。
【００３２】
いくつかのオブジェクト指向型プログラムの利点は、新しいタイプのオブジェクトが追加されたときに変更する必要の無い（機能を実行する）モジュールをプログラマーが作ることを可能にすることである。オブジェクトは、タスクを実行することが要求されるデータおよび機能の両方を含む。従って、オブジェクトとして本発明のコンポーネントによって実行される機能の実施により、作られたモジュールは、新しいタイプのオブジェクト（または機能）が追加されたときに変更する必要が無い。この本発明の実施は複雑さを低減し、従って、能率を向上させる。本発明のカテゴリ（およびそれらそれぞれのコンポーネント）は次に開示される。
【００３３】
（１．サーバ側のコンポーネント）
上述のように、認証サーバ２０２および通信コンポーネント２０４は、サーバ側のコンポーネントとして分類されている。認証サーバ２０２は、通信コンポーネント２０４（図２参照）に接続されている。認証サーバ２０２は、関連の同時係属中の米国出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１に詳細に記述されている（上記「関連出願へのクロス・リファレンス」を参照）。便宜のため、以下、認証サーバ２０２は簡単に記述されている。
【００３４】
認証サーバ２０２は、本発明のエンジンであり、本発明によって必要とされるデータの集合を格納する。認証サーバ２０２内のエンジンの機能および格納されたデータの双方が以下にさらに詳細に議論される。認証サーバ２０２に格納されたデータの種類が登録ステーションおよび管理ステーション（図示せず）の動作を通して部分的に判定される。登録ステーションは、本発明によって認証されることになっているユーザを登録するために用いられる。登録ステーションは、本発明がユーザを登録および最終的には認証するために用いる全種類のデバイス（例えば、指紋スキャナのような生物測定デバイス、音声または顔認識システム等、または、ＲＳＫトークン、ＶＡＳＣＯトークン等のセキュリティトークンその他）に取り付けられている。ユーザが本発明に登録される場合、ユーザは、管理上の判断に必要となるできるだけ多くのデバイスに登録され得る。
【００３５】
管理ステーションは、本発明の管理者が管理任務全般を行うために用いられる。管理者は、さらに、種々のリポートを作成するために管理ステーションを使用し得る。リポートは、認証サーバ２０２に格納された異なるタイプのデータのリスト（例えば、本発明において現在登録されているユーザのリスト）を含む場合がある。加えて、管理ステーションは、典型的には、認証サーバ２０２内のイニシャルデータをセットアップするために用いられる。
【００３６】
本発明によって使用され得る他のコンポーネントとしては、同じく図２に図示しないサテライト登録ステーションがある。サテライト登録ステーションは、遠隔位置でユーザを本発明に登録するために用いられる。サテライト登録ステーションは、管理ステーションと同様に、多くのデバイスが取り付けられるようにしてもよいが、代替的に、管理ステーションをスケールダウンしたバージョンであってもよい。以下に詳細に記載するように、本発明を用いると、ウィブブラウザ（すなわち、クライアントに与えられた通信プロトコル）は、遠隔登録ステーションとして作用することができる。
【００３７】
認証サーバ２０２は、さらに、図２において図示しない認証コンポーネント（すなわち、認証オブジェクト）を含んでいる。認証コンポーネントは、通信コンポーネント２０４と相互に影響し合って、ユーザの認証を行うために必要な機能を提供する。認証コンポーネントは、以下、より詳細に記載される。
【００３８】
本発明の遠隔登録コンポーネントを参照して記載されるように、認証サーバ２０２は、さらに、通信コンポーネント２０４と相互作用して遠隔登録を行うための必要な機能を提供する登録コンポーネント（図２において図示せず）を含む。
【００３９】
上述したように、認証サーバ２０２は、通信コンポーネント２０４に接続されている。通信コンポーネント２０４は、（以下に説明する）監視（ｌｉｓｔｅｎ）オブジェクトおよびコム（ｃｏｍｍ）オブジェクトを含む、特定の機能を行う異なる種類のオブジェクトを含んでいる。これらの種類のオブジェクトは、ユーザが認証されることを試みた場合に本発明によって必要な通信を提供するために用いられる。上述のように、本発明は、インターネット等の通信メディアを介した内密の情報の保護および同じ内密の情報へのアクセスの容易さの平衡を効果的に保たせる解決方法を提供する。本発明がインターネットを参照して記載される場合、本発明を制限することを意味しないことに留意することは重要である。本発明は、さらに、イントラネット、無線ネットワークその他に適用される。通信メディアの種類に依存して、通信コンポーネント２０４は、特定のメディアを介してユーザを認証するために、必要な通信機能を行う。このことは、図４、図５Ａ及び図５Ｂを参照して示されている。
【００４０】
図４において、通信コンポーネント２０４は、無線ネットワークのための必要な機能を行う。図５Ａは、局所ネットワークまたはイントラネットのために必要な機能を行う通信コンポーネント２０４示している。最後に、図５Ｂは、イントラネットのための必要な機能を行う通信コンポーネント２０４を示している。通信コンポーネント２０４、認証コンポーネント、および、互いに相互作用する方法が、以下に、通信メディアがインターネットである場合について記載される。ただし、本発明は、インターネットに制限されるわけではない。
【００４１】
（ａ．通信コンポーネント−監視オブジェクト）
監視オブジェクトは、認証サーバ２０２が始動する時に認証サーバ２０２によって、実例が挙げられる。監視オブジェクトは、図６によって示される次のタスクについて役割を有している。図６において、フローチャートはステップ６０２で開始する。一旦、その存在が示されると、監視オブジェクトは、ステップ６０２に示されるような入来ＳＳＬ接続リクエスト用の標準ＳＳＬポート（すなわち、ポート４４３）上のＨＴＴＰデーモン・リスニングのように駆動する。
【００４２】
ステップ６０４において、一旦、監視オブジェクトがＳＳＬ接続リクエストを受け取ると、以下に記載するように、監視オブジェクトは、リクエストがコムオブジェクトによって処理されることを保証する。制御は、次に、ステップ６０２に戻り、監視オブジェクトは、入来ＳＳＬ接続リクエストを監視する。監視オブジェクトは、認証サーバ２０２が処理を終えると壊されるのみである。
【００４３】
リクエストがステップ６０４で処理されることを監視オブジェクトが保証する異なる方法がある。例えば、本発明のある実施形態では、監視オブジェクトは、標準デーモンスレッド、ワーカー・スレッド・プールモデルとして実行され得る。ここで、単一のデーモンスレッドは、全ての入来接続リクエスト受け入れ、新規の創作されたソケット（各接続に対して）をプール内のワーカースレッドの一つに手放す。次に、デーモンスレッドは、より多くの入来接続のための監視に戻り得る。プール内のスレッド数は、形成可能なパラメータであり得る。スレッドは、当業者に周知である。
【００４４】
本発明の他の実施形態において、監視オブジェクトは、ＩＯ完了ポートを用いて、単一ポイントのクライアントからの受信リクエストおよびクライアントへの送達レスポンスを提供し得る。この技術は、さらに、本来的に非同期の通信メカニズムに向いている。通信メカニズムは、ＩＯ中心の処理の性能を向上するために示されている。ＩＯ完了ポートおよび非同期の通信メカニズムも、当業者に周知である。本発明のコムオブジェクトは以下に議論される。
【００４５】
（ｂ．通信コンポーネント−コムオブジェクト）
コムオブジェクトは、それぞれの新しいクライアントセッションの間に、実例が挙げられる。クライアントセッションは、ウェブブラウザ２１２でのユーザがウェブ／アプリケーションサーバ２１４にアクセスすることを試みる場合の結果として生じる。一旦、認証処理が完了すると、エラーが発生するか、または、タイムアウトが発生するか、対応するコムオブジェクトが破壊される。コムオブジェクトは、図７に示される以下のタスクについて責を負う。図７において、フローは、ステップ７０２で始まる。ステップ７０２において、コムオブジェクトは、データの対称な暗号化／復号化についてのウェブブラウザ２１２を用いてセッションキーを取り決める。これは、サーバ側の証明並びにクライアント側の証明を交換することを含み得る。制御は、次に、ステップ７０４に進む。
【００４６】
ステップ７０４において、コムオブジェクトは、セッションキーを用いて暗号化されたウェブブラウザ２１２からデータを受け取る。制御は、次に、ステップ７０６に進む。
【００４７】
ステップ７０６において、コムオブジェクトは、ステップ７０４において受け取ったデータを復号化する。制御は、次に、ステップ７０８に進む。
【００４８】
ステップ７０８において、コムオブジェクトは、ＨＴＴＰヘッダおよび復号化されたデータ内のコンテンツを解析する。制御の後、ステップ７１０に進む。
【００４９】
ステップ７１０において、コムオブジェクトは、受信したデータからの特定のフォーマットに適合するデータオブジェクトを生成し、認証サーバ２０２の認証コンポーネント（すなわち、認証オブジェクト）またはポリシーオブジェクト（認証オブジェクトを介して）にそれを手放す。ポリシーオブジェクトは、関連する同時係属米国出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に説明されている。ポリシーオブジェクトは、用いられている特定のポリシーによって異なっている。認証サーバ２０２の認証コンポーネントによってユーザが認証されるべきかについての方法または方式を決定するのはポリシーである。彼または彼女が適切なポリシーを通過する（ｐａｓｓ）までユーザが認証されないことに留意することは重要である。本発明において、ユーザは、彼または彼女のポリシーを通過することもなく、単独で通過する一つ以上のデバイスによって決して認証されない。ポリシーは、以下においてさらに議論される。制御は、次に、ステップ７１２に進む。
【００５０】
ステップ７１２において、コムオブジェクトは、データオブジェクトを認証オブジェクトまたはポリシーオブジェクトから受け取り、ＨＴＴＰに従ってそれをフォーマット化する。制御は、次に、ステップ７１４に進む。
【００５１】
ステップ７１４において、コムオブジェクトは、ウェブブラウザ２１２に再送信されるセッションキーを用いてデータを暗号化する。制御は、次に、ステップ７１６に進む。
【００５２】
ステップ７１６において、コムオブジェクトは、暗号化されたデータをウェブブラウザ２１２に送信する。一部または全ての上記ステップは、ポリシーが多要素の認証を要求する場合、数回繰り返され得ることに留意することは重要である。図７のフローチャートは、このポイントで終了する。上述したように、エラーが発生した場合、または、タイムアウトが発生した場合には、コムオブジェクトは、一旦、認証プロセスが完了した後、破壊される。本発明の認証コンポーネント（すなわち、認証オブジェクト）は、次に記載される。
【００５３】
（ｃ．認証コンポーネント−認証オブジェクト）
認証オブジェクトにおいても、それぞれの新しいクライアントセッションの間に実例が挙げられる。上記の通信オブジェクトのように、認証オブジェクトも特定の通信メディアであり得る。認証オブジェクトのタスクが図８に示されている。図８において、制御がステップ８０２で始まる。ステップ８０２において、認証オブジェクトは、ポリシー（またはポリシーオブジェクト）を、ユーザを認証するために用いられることになっているデータベース（またはデータベースオブジェクト）から取り出す。制御は、次に、ステップ８０４に進む。
【００５４】
ステップ８０４において、認証オブジェクトは、通信コンポーネント２０４に、ウェブブラウザ２１２（フィルタ２０６および認証制御コンポーネント２０８を介して）を用いた通信のために要求される必要なメッセージの全てを通知する。一旦、認証メッセージの交換が完了すると、制御はステップ８０６に進む。
【００５５】
ステップ８０６において、認証オブジェクトは、最終結果をフィルタ２０６に（通信コンポーネント２０４を介して）戻す。フィルタ２０６は、順次、サーバ／ウェブアプリケーション２１４と相互作用して、ユーザにアクセスすることを許容する（または禁ずる）。ユーザによるアクセスの制御から離すためのフィルタ２０６とサーバ／ウェブアプリケーション２１４との間の相互作用は、本発明によって統合と呼ばれる。図８におけるフローチャートは、このポイントで終了する。本発明のクライアント側のコンポーネントは次に記載される。
【００５６】
（２．クライアント側のコンポーネント）
本発明により、認証制御コンポーネント２０８は、デバイス固有コンポーネント２１０およびウェブブラウザ２１２とともに、クライアント側のコンポーネントとして分類される。デバイス固有コンポーネント２１０はソフトウェアライブラリおよび認識デバイス（例えば、指紋スキャナ、音声または顔面認識システムのような生物測定のデバイス等、または、ＲＳＡトークン等のセキュリティトークンその他）に特有の他のコンポーネントである。デバイス固有のコンポーネント２１０は、典型的には、デバイス製造業者によって輸送され、通常、デバイスをインターフェースで連結するために用いられ得るアプリケーションプログラミングインターフェース（ＡＰＩ）を含んでいる。
【００５７】
認証制御コンポーネント２０８は、デバイス固有のコンポーネント２１０と共に作動して、ユーザの信用証明書を獲得する処理、必要な任意の局所プロセスを行う処理、およびこの処理の結果をフィルタ２０６に通信する処理を管理する。例えば、認証制御コンポーネント２０８は、所定のウェブブラウザ（例えば、インターネットエクスプローラー）のためのアクティブＸ制御として実行され得、並びに、他のウェブブラウザ（例えば、Ｎｅｔｓｃａｐｅ）のためのアクティブＸ制御と同一の論理を含むプラグ接続式として実行され得る。
【００５８】
本発明のクライアント側のコンポーネントは、ソフトウェアの完全性および１回のダウンロードを含む２つの特徴を提供する。一旦、認証制御コンポーネント２０８がクライアントのコンピュータまたは機械上でダウンロードされると、悪意のあるユーザが、それをみだりに変更するおそれがある。このようなことを防止するため、クライアントソフトウェアの完全性が、認証制御コンポーネント２０８が用いられる前の各回ごとにチェックされる。これは、認証制御コンポーネント２０８用のコード上およびデバイス固有のコンポーネント２１０用のコード上のハッシュを実行することによって達成され得る。任意の変化が発見された場合、本発明の認証が進行する前に、認証制御コンポーネント２０８および／またはデバイス固有のコンポーネント２１０用のオリジナルのコードがダウンロードされる。
【００５９】
本発明の、１回のダウンロードについての特徴は、登録時またはユーザが認証制御コンポーネント２０８を有していないコンピュータから認証することを試行する初回のいずれかの際に、ユーザのコンピュータ上で１回のみ、特定バージョンの認証制御コンポーネント２０８がダウンロードされるという事実を取り扱う。その後は、それぞれの新しいバージョンの認証制御コンポーネント２０８も、ユーザのコンピュータ上で１回のみダウンロードされる。フィルタコンポーネントは次に記載される。
【００６０】
（３．フィルタコンポーネント）
フィルタ２０６は、ウェブ／アプリケーションサーバ２１４（すなわち、本発明の認証サーバを必要とする任意のウェブサーバまたはアプリケーションサーバ）に存在する軽微なコンポーネントである。フィルタ２０６のためのコードは、好ましくは、最適な性能のために、ウェブ／アプリケーションサーバ２１４の本来の言語（例えば、Ｃ、Ｃ＋＋、Ｊａｖａ（Ｒ）等）で書き込まれる。本発明の一実施形態において、フィルタ２０６は、ウェブブラウザ２１２から送られる全てのリクエストを見て、ウェブブラウザ２１２からの認証のための任意のリクエストを遮断する。フィルタは、次いで、認証リクエストを認証サーバ２０２に転送する。
【００６１】
フィルタ２０６は、Ｎｅｔｓｃａｐｅ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｒｖｅｒ（ＮＥＳ）、Ｍｉｃｒｏｓｏｆｔ Ｉｎｔｅｒｎｅｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｒｖｅｒ（ＭＳＩＳ）、Ａｐａｃｈｅ等を含む（ただし、これらに限定されない）、実在するウェブサーバと共同動作して、ウェブサイトにアクセスするための認証サーバを提供するように設計される。フィルタ２０６は、さらに、ＢＥＡウェブロジック、ＳｉｌｖｅｒＳｔｒｅａｍ Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ ＡｐｐＳｅｒｖｅｒ、Ｓｕｎ ＮｅｔＤｙｎａｍｉｃｓ、Ｍｉｃｒｏｓｏｆｔ Ｓｉｔｅ Ｓｅｒｖｅｒ等を含む（ただし、これらに限定されない）、アプリケーションサーバとともに用いられて、オンラインバンキング、オンラインの株式売買その他を含むウェブアプリケーションのための認証サーバを提供し得る。図２に示されるように、フィルタ２０６は、一つ以上のウェブ／アプリケーションサーバ２１４に接続される。ウェブ／アプリケーションサーバ２１４は、上述のように、ウェブサーバおよびアプリケーションサーバの両方を表す。本発明の遠隔登録コンポーネントは、次に記載される。
【００６２】
（４．遠隔登録コンポーネント）
本発明によると、ユーザは、自らの信用証明を遠隔から（インターネット、イントラネット、無線ネットワークその他を介して）登録することができる。本発明の遠隔登録コンポーネントは、認証制御コンポーネント２０８、通信コンポーネント２０４および中間層登録アプリケーションを含んでいる。上述のように、認証制御コンポーネント２０８は、さらに、登録および認証（クライアント側のコンポーネント）のために用いられ得る。上記に説明したように、通信コンポーネント２０４は、監視オブジェクトおよびコムオブジェクトを含んでいる。ここで、通信コンポーネント２０４は、認証サーバ２０２（すなわち、登録オブジェクト（これは上述の認証オブジェクト一部である））の登録コンポーネントと相互作用する。これにより、登録時に、認証制御コンポーネント２０８の「１回の」ダウンロードが許容され、あるいは、ユーザが登録されたものとは異なるコンピュータに移動した場合には、認証制御コンポーネント２０８は、ユーザがその異なるコンピュータから認証することを試みる初回にダウンロードされる。
【００６３】
本発明の遠隔登録の機能性は、ユーザの信用証明（例えば、生物測定、パスワード等）を獲得し、その信用証明を登録オブジェクトに送信するために、認証制御コンポーネント２０８を必要とする。登録オブジェクトでは、認証サーバ２０２のデータベース内に、本発明による将来のユーザの認証のために、信用証明を格納する。
【００６４】
登録アプリケーションは、遠隔登録プロセスのプレゼンテーションロジックを駆動する。登録アプリケーションは、ウェブブラウザ２１２において概観される、ユーザ可視のＨＴＭＬを生成する責を負う。いくつかの技術が、Ａｃｔｉｖｅ Ｓｅｒｖｅｒ Ｐａｇｅｓ（ＡＳＰ）、Ｊａｖａ（Ｒ） Ｓｅｒｖｅｒ Ｐａｇｅｓ（ＪＳＰ）、ＪＡＶＡ（Ｒ） Ｓｅｒｖｌｅｔｓ、Ｍｉｃｒｏｓｏｆｔ ＩＳＡＰＩおよびＮｅｔｓｃａｐｅ ＮＳＡＰＩを含む、ユーザ可視のＨＴＭＬを実行するために用いられ得る。登録アプリケーションは、一方の側において、媒介認証制御コンポーネント２０８として作用し、他方の側において、監視オブジェクト、コムオブジェクトおよび登録オブジェクトとして作用する。監視オブジェクト、コムオブジェクトおよび登録オブジェクトのタスクが、次に、記載される。
【００６５】
（ａ．通信コンポーネント−監視オブジェクト）
上記に説明したように、監視オブジェクトは、認証サーバが始動する時点で、認証サーバ２０２によって、実例が挙げられる。監視オブジェクトは、図９に示される以下のタスクの責を負う。図９において、フローチャートがステップ９０２で開始する。一旦、実例が挙げられると、監視オブジェクトは、ステップ９０２に示されるように、入来ＳＳＬ接続リクエストに対する標準ＳＳＬポート（すなわち、ポート４４３）上のＨＴＴＰデーモン監視と同様に作用する。制御は、次に、ステップ９０４に進む。
【００６６】
ステップ９０４において、一旦、監視オブジェクトがＳＳＬ接続リクエストを受け取ると、監視オブジェクトは、リクエストのパラメータを見て、制御が登録オブジェクト、コムオブジェクト、または本発明が支持する任意の他の機能オブジェクトに移動すべきかどうかを決定する。図６がただ一つの可能な種類のリクエスト（すなわち、認証リクエスト）が存在する場合を示していることに留意すべきである。制御は、次に、ステップ９０６に進む。
【００６７】
ステップ９０６において、監視オブジェクトは、リクエストが処理したことを保証する。制御は、次に、ステップ９０２に戻る。ここでは、監視オブジェクトは、入来ＳＳＬ接続リクエストを監視する。監視オブジェクトは、一旦、認証サーバ２０２が停止されると、破壊されるのみである。
【００６８】
（ｂ．通信コンポーネント−コムオブジェクト）
コムオブジェクトは、それぞれの新しいクライアントセッションの間に実例が挙げられる。クライアントセッションは、ウェブブラウザ２１２におけるユーザがウェブ／アプリケーションサーバ２１４にアクセスすることを試みる場合の結果として生じる。一旦、登録プロセスが完了すると、エラーが発生するか、または、タイムアウトが発生するか、対応するコムオブジェクトが破壊される。コムオブジェクトは、図７によって示されるのと同一のタスクの責を負う。
【００６９】
（ｃ．登録コンポーネント−登録オブジェクト）
登録オブジェクトは、（登録アプリケーションを介し）認証制御コンポーネント２０８を用いて、メッセージ交換に対する論理を実行し、メッセージ交換を駆動するため、上記に説明された認証オブジェクトの一部である。登録オブジェクトの新しい例もまた、それぞれの新しいクライアントセッションに対して実例が挙げられる。上記の通信オブジェクトおよび認証オブジェクトと同様に、登録オブジェクトもまた、特定の通信メディアであり得る。登録オブジェクトのタスクが図１０に示されている。図１０において、制御は、ステップ１００２で開始する。ステップ１００２において、登録オブジェクトは、ポリシー（またはポリシーオブジェクト）をユーザのために生成する。制御は、ステップ１００４に進む。
【００７０】
ステップ１００４において、生成されたポリシーに基づいて、登録オブジェクトは、必要な信用証明をユーザからリクエストする。この信用証明は、テンプレートとして格納される。例えば、ポリシーがユーザが指紋デバイスおよび手の紋様を測定するデバイスの両方で試験されることを必要とする場合、登録オブジェクトは、ユーザの指紋および手の紋様の生物測定をリクエストする。制御は、次に、ステップ１００６に進む。
【００７１】
ステップ１００６において、登録オブジェクトは、ポリシーおよび信用証明（またはテンプレート）を認証サーバ２０２のデータベース内に格納する。図１０のフローチャートは、このポイントで終了する。
【００７２】
本発明の一実施形態は、上記に議論した本発明の機能コンポーネントの全てを含んでいるが、一部（または全て）のコンポーネントは、各コンポーネントの機能性が上記の本発明の範囲内に依然として存在している限り、実行され得る。
【００７３】
（５．ユーザ管理コンポーネント）
本発明は、ユーザが自らの信用証明を本発明により一度に登録することを許容する。本発明は、次に、ユーザの信用証明を再利用して、一つ以上の関連する可能性がないオンラインアカウントにアクセスするために、ユーザを認証する。このオンラインアカウントは、ウェブ／アプリケーションサーバ２１４によって提供される。本発明によると、さらに、ウェブ／アプリケーションサーバ２１４によって提供される特定のユーザのオンラインアカウントに対して、ユーザは、どのポリシーおよびどの種類の鑑定デバイスがユーザを認証するために用いられるべきかを決定することができる。
【００７４】
ユーザが最初に本発明に結合し得る方法は複数存在する。一つの方法は、ユーザがウェブ／アプリケーションサーバ２１４によって本発明の方に再び向けられることである。ここで、ウェブ／アプリケーションサーバ２１４は、ユーザが本発明を用いて登録すること、または、単に、ユーザに本発明を用いて登録する機会を提供することを必要とし得る。ユーザが最初に本発明に結合し得る他の方法は、ユーザが直接、本発明と接触して、どのウェブ／アプリケーションサーバ２１４が本発明を利用するかを決定することである。例えば、ユーザがオンラインバンキングアプリケーション／プロバイダを探しており、彼または彼女の内密のアカウント情報を保護することに関係する場合、ユーザは、実際に彼または彼女のオンラインバンキングプロバイダを、オンラインバンキングのプロバイダが本発明を利用するかどうかに基づいて選択し得る。
【００７５】
本発明によると、ユーザは、自らのオンラインアカウントに対するアクセスの保護のレベルを規定することができる。本発明は、次に、それらの信用証明を再利用して、ユーザを、オンラインアカウントに関連しない一つ以上のポリシーを認証する。ユーザ管理コンポーネントは、ユーザ管理コンポーネント２０７を含んでいる。ウェブ／アプリケーションサーバ２１４によって提供された、関連する可能性のないオンラインアカウントへの認証に対するユーザの信用証明を格納および管理（およびしたがって再利用）する中心データを維持するのは、ユーザ管理コンポーネント２０７の機能である。
【００７６】
ユーザ管理コンポーネント２０７は、ユーザ管理プロセスのプレゼンテーションロジックを駆動させる。ユーザ管理コンポーネント２０７は、認証制御コンポーネント２０８を介して、（複数の）ポリシーを獲得するようにウェブブラウザ２１２にて視聴されるウィザードおよび／またはユーザ可視ＨＴＭＬページを提示することにより、ユーザとの相互作用を駆動させ得る。ポリシー（（複数の）ポリシーを実行するために必要な識別デバイスを含む）は、ユーザおよびユーザ信用証明（すなわち、生物測定、パスワード等）により特定される。バックエンドにて、ユーザ管理コンポーネント２０７は、ポリシーを提供するように認証サーバ２０２と相互作用する。ポリシーは、特定のオンラインアカウントについてユーザを認証させる場合に使用される。ユーザ管理コンポーネント２０７は、任意の工業規格プラットフォームを用いて展開され得る。任意の工業規格フラットフォームは、Ｊａｖａ（Ｒ） Ｓｅｒｖｌｅｔｓ，Ｅｎｔｅｒｐｒｉｓｅ Ｊａｖａ（Ｒ） Ｂｅａｎｓ，ＩＳＡＰＩ ｅｘｔｅｎｓｉｏｎｓ，Ａｃｔｉｖｅ Ｓｅｒｖｅｒ Ｐａｇｅ ｐｒｏｇｒａｍｓ等を含むが、これらに限定されない。
【００７７】
図１５は、ユーザが１以上のユーザオンラインアカウントへのアクセス保護レベルを規定できるように、ユーザ信用証明および要求されたポリシーを要求し、次いで、ユーザ信用証明および要求されたポリシーを保存する本発明を示す上位のフローチャートである。工程１５０２において、本発明は、ウェブ／アプリケーションサーバ２１４により提供された特定のオンラインアカウントを用いるために、ユーザがどのポリシーを提供するかを示すことを要求する。これはまた、ユーザ判定ポリシーを実施するように用いられた識別デバイスを、ユーザが決定することを可能にする。以下でさらに述べるように、ユーザは、ユーザオンラインアカウント全てに対して同じポリシーを示し得るか、または、それぞれのアカウントに対して異なるポリシーを用い得る。ユーザオンラインアカウントは、同じウェブ／アプリケーションサーバ２１４または異なるウェブ／アプリケーション２１４により提供され得る。示された（複数の）ポリシーに基づいて、本発明は、ユーザを、ポリシーを実行するために必要とされる信用証明（例えば、生物測定、パスワード等）を供給するように誘導する。オンラインまたはウェブアプリケーションのエンドユーザ認証サービスに提供するユーザ信用証明を保存することおよび管理することは、本発明の認証および登録機能から分離されている。実際、ユーザの所望のポリシーを獲得し、次いで、所望のポリシーに基づいて、要求される信用証明を獲得するのは、認証制御コンポーネント２０８である。次いで、制御は、工程１５０４に進む。
【００７８】
工程１５０４において、ユーザ管理コンポーネント２０７は、ユーザのオンラインアカウントおよびユーザ信用証明のそれぞれについてのユーザの所望のポリシーを認証制御コンポーネント２０８から受信する。
【００７９】
工程１５０６において、ユーザ管理コンポーネント２０７は、受信されたユーザ信用証明および所望のポリシーを中心位置に保存する。認証サーバ２０２のデータベースは、本発明のユーザ管理機能の中心位置またはデータ中心として機能し得る。以下で詳細に述べるように、本発明を簡易化させるように、この情報が編集され得る多くの異なる方法がある。図１５のフローチャートは、この点で終わる。
【００８０】
本発明が、複数の無関係のウェブアプリケーションに１つのユーザを結合するように、中心的なデータ中心（ｃｅｎｔｒａｌ ｄａｔａ ｃｅｎｔｅｒ）にてデータを、どのように編集し得るかを以下で説明する。本発明は、ＩＤを各ユーザに割り当て、ユーザを一様に識別する。本発明の１実施形態において、このＩＤは、本発明に対してユーザを一意的に識別するグローバルユニークＩＤ（またはＧＵＤＩＤ）である。例えば、ユーザ「Ｊｏｈｎ Ｓｍｉｔｈ」が、いくつかの異なるウェブアプリケーションに関わるアカウントを有すると仮定する。これらのウェブアプリケーションは、日計り取引に対するｔｒａｄｅｌｉｎｅ．ｃｏｍ、薬物処方をファイルしているｄｒｕｇｏｎｌｉｎｅ．ｃｏｍ、および、銀行を必要とするｂａｎｋｏｎｌｉｎｅ．ｃｏｍを含む。これらのウェブアプリケーションそれぞれは、他のアプリケーションが存在することを潜在的に分かり得ないことを留意することが重要である。（これらが共通に有する１つのことは、ユーザがユーザのアカウントに割り当てられた保護レベルを規定することができるように、これらの全てが本発明と共に協働することである。）それゆえ、ウェブアプリケーションのそれぞれが一意的なユーザ名をＪｏｈｎ Ｓｍｉｔｈに提供してきた。例えば、ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍは、Ｊｏｈｎ Ｓｍｉｔｈに「ｊｓｍｉｔｈ．ｕｓｅｒ．ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍ」のユーザ名を提供し、ｂａｎｋｏｎｌｉｎｅ．ｃｏｍは、「ｊｏｈｎ１２３４．ａｃｃｏｕｎｔ．ｂａｎｋｏｎｌｉｎｅ．ｃｏｍ」のユーザ名を提供してきたと仮定する。本発明は、Ｊｏｈｎ ＳｍｉｔｈのＧＵＩＤに無関係のユーザ名のそれぞれをマッピングしなければならない。例示の目的のために、Ｊｏｈｎ ＳｍｉｔｈのＧＵＩＤは、「１２３４−５６７８−９１０１」であると仮定する。これが為され得る多くの方法がある。１方法は、次の表１により表示される。
【００８１】
【表１】
【００８２】
【表２】
【００８３】
本発明の別の実施形態において、Ｊｏｈｎ Ｓｍｉｔｈは、彼のアカウントのそれぞれに対して異なったポリシーを用いることを望んでいる。表３には、本発明によって、このことがどのようになされるかを示す。ここでは、上述の表２に類似した表は削除されている。
【００８４】
【表３】
【００８５】
図１３において、制御は工程１３０２で始まる。工程１３０２において、ユーザ管理コンポーネント２０７は、ウェブアプリケーションまたはオンラインアカウントのためのユーザ名を受信して、ユーザはアクセスしようと試みる。さらに、このユーザ名は、特定のウェブアプリケーションに関して、ユーザに固有のものである。次に、制御は工程１３０４に移動する。
【００８６】
工程１３０４において、ユーザ管理コンポーネント２０７は本発明のユーザのＧＵＩＤにユーザ名をマッピングする。さらに、このことは、上述の表１などの表を利用することによってなされ得る。次に、制御は工程１３０６に移動する。
【００８７】
工程１３０６において、ユーザ管理コンポーネント２０７は本発明のユーザのポリシー（または、ポリシーオブジェクト）にユーザのＧＵＩＤをマッピングする。さらに、このことは、上述の表２などの表を利用することによってなされ得る。次に、制御は工程１３０８に移動する。
【００８８】
工程１３０８において、ユーザ管理コンポーネント２０７は、ユーザがオンラインアカウントまたはウェブアプリケーションに認証しようと試みるとき、用いるポリシーを認証サーバ２０２に示す。図１３のフローチャートはこの点で終了する。
【００８９】
本発明の実施形態は、上述の本発明の機能的なコンポーネントの全てを含むが、いくつか（または全て）のコンポーネントが組み合わされても、本発明の範囲から逸脱しない。
【００９０】
（Ｃ．本発明の例示の実施）
（１．例示の環境）
認証サーバ２０２、コミュニケーションコンポーネント２０４、フィルタ２０６、ユーザ管理コンポーネント２０７、認証制御コンポーネント２０８、加入ステーション、管理ステーションおよび衛星管理ステーションは、図３に示されるようにコンピュータ３００を使用して実行され得る。明らかに、１つ以上のこれらの機能的なコンポーネントは、単一のコンピュータ３００上で実行され得る。
【００９１】
本発明は、ハードウェア、ソフトウェア、またはそれの組み合わせを用いて実行され得、コンピュータシステムまたは他のプロセシングシステムにおいて実行され得る。実際に、１実施において、本発明は、明細書中で記載される機能性を達成できる１つ以上のコンピュータシステムに方向付けられている。コンピュータシステム３００は、例えばプロセッサ３０４のように、１つ以上のプロセッサを含んでいる。プロセッサ３０４は、コンピュータバス３０６に接続される。多様なソフトウェアの実施形態は、この例示のコンピュータシステムの点に関して記載される。この記載を読んだ後、他のコンピュータシステムおよび／またはコンピュータアーキテクチャを用いて本発明を実現する方法は、当業者にとって明白になるだろう。
【００９２】
コンピュータシステム３００は、メインメモリ３０８、好適にはランダムアクセスメモリ（ＲＡＭ）および２次メモリ３１０をさらに含む。２次メモリ３１０は、例えば、フロッピー（Ｒ）ディスクドライブ、磁気テープドライブ、光学ディスクドライブなどのハードディスクドライブ３１２および／またはリムーバブル格納ドライブ３１４を含み得る。このリムーバブル格納ドライブ３１４は、周知の方法で、リムーバブル格納ユニット３１８から読み出し、および／または、リムーバブル格納ユニット３１８へ書き込む。リムーバブル格納ユニット３１８は、リムーバブル格納ドライブ３１４によって読み書きされるフロッピー（Ｒ）ディスク、磁気テープ、光学ディスクなどに相当する。明確なことに、リムーバブル格納ユニット３１８は、コンピュータ使用可能格納媒体を含む。この格納媒体は、その中に格納されたコンピュータソフトウェアおよびデータを有している。
【００９３】
別の実施形態において、セカンダリメモリ３１０は、コンピュータプログラムまたは他の命令がコンピュータシステム３００中へロードすることができるほかの類似の手段を含み得る。このような手段は、例えば、リムーバブル格納ユニットット３２２およびインターフェース３２０を含み得る。このような例は、プログラムカートリッジおよびカードリッジインターフェース（例えば、ビデオゲームデバイスで構成されるようなもの）、リムーバブルメモリチップ（例えば、ＥＰＲＯＭまたはＰＲＯＭ）および関連したソケット、ならびに、ソフトウェアおよびデータが、リムーバブル格納ユニット３１８からコンピュータシステム３００へ送信され得る、他のリムーバブル格納ユニット３２２およびインターフェース３２０を含み得る。
【００９４】
コンピュータシステム３００はさらに、コミュニケーションインターフェース３２４を含み得る。コミュニケーションインターフェース３２４により、ソフトウェアおよびデータは、コンピュータシステム３００と外部デバイスとの間に転送される。コミュニケーションインターフェース３２４の例示は、モデム、ネットワークインターフェース（例えば、イーサネット（Ｒ）カード）、コミュニケーションポート、ＰＣＭＣＩＡスロットおよびＰＣＭＣＩＡカードなどを含み得る。コミュニケーションインターフェース３２４を介して転送されるソフトウェアおよびデータは、電気的、電磁気的、またはコミュニケーションインターフェース３２４によって受信されることができる他の信号になり得る信号の形式をとる。これらの信号３２６は、チャネル３２８を介してコミュニケーションインターフェースに提供される。このチャネル３２８は信号３２６を伝えて、ワイヤまたはケーブル、光ファイバー、電話線、携帯電話リンク、ＲＦリンクおよび他のコミュニケーションチャネルを用いて実行され得る。
【００９５】
本明細書において、用語「コンピュータプログラム媒体」および「コンピュータ使用可能媒体」は、概して、例えば、リムーバブル格納デバイス３１８、ハードディスク３１２にインストールされたハードディスクおよび信号３２６といった媒体を示すために用いられ得る。これらのコンピュータプログラム製品は、コンピュータシステム３００にソフトウェアを提供するための方法である。
【００９６】
コンピュータプログラム（またはコンピュータ制御論理とも言う）は、メインメモリおよび／またはセカンダリメモリ３１０に格納される。コンピュータプログラムはまた、コンピュータインタフェース３２４を介して受信され得る。コンピュータプログラムの実行時に、このようなコンピュータプログラムにより、コンピュータシステム３００は、本明細書に記載されるような本発明の特徴を実施することができる。特に、コンピュータプログラムの実行時に、コンピュータプログラムにより、プロセッサ３０４は、本発明の特徴を実施することができる。従って、このようなコンピュータプログラムは、コンピュータシステム３００の制御に相当する。
【００９７】
ソフトウェアを用いて本発明が実行される実施形態において、ソフトウェアは、コンピュータプログラム製品に格納され、リムーバブル格納ドライブ３１４、ハードディスク３１２、またはコミュニケーションインターフェース３２４を用いてコンピュータシステム中にロードされ得る。この制御論理語（ソフトウェア）がプロセッサ３０４による実行時に、この制御論理語により、プロセッサ３０４は、本明細書に記載されるような本発明の特徴を実施することができる。
【００９８】
別の実施形態において、本発明は、例えば、特定用途向け集積回路（ＡＳＩＣ）といったハードウェアコンポーネントを用いて、第１に、ハードウェアで実現される。本明細書に記載される機能を実施するために、ハードウェアの状態機械の実現は、当業者（単数または複数）に明白になる。さらに別の実施形態において、本発明はハードウェアおよびソフトウェアの両方の組み合わせを用いて実現される。
【００９９】
（２．例示のネットワークアークテクチャおよびプログラミング言語）
上述のように、実行時のコンピュータプログラムにより、コンピュータ３０２は、本明細書に記載されるような本発明の機能を実施することができる。実施形態において、本発明は、オブジェクト指向のプログラミング言語で書かれるコンピュータプログラムを用いて実行される。オブジェクト指向のプログラミング言語は、プログラマーが１つのデータ構造によるデータタイプだけでなく、データ構造に利用され得る動作（機能）タイプもまた定義されるようなタイプのプログラムである。このように、データ構造は、データおよび機能を共に含むオブジェクトになる。さらに、プログラマーは、あるオブジェクトと別のオブジェクトとの間の関係を生成する。例えば、オブジェクトは、他のオブジェクトからの特徴を受け継ぎ得る。
【０１００】
手続き型プログラミング技術を超えたオブジェクト指向プログラミング技術の原理的な利点の１つは、それらにより、新しいタイプのオブジェクトが追加される場合に、プログラマーが必要とされるモジュールを作成できることである。プログラマーは、既存のオブジェクトからのその多くの特徴を受け継ぐ新しいオブジェクトを容易に作成できる。これにより、オブジェクト指向プログラムを変更することを容易にする。オブジェクト指向プログラミングを実行するためには、オブジェクト指向プログラミング言語（ＯＯＰＬ）が必要とされる。Ｃ＋＋およびＳｍａｌｌｔａｌｋは、よりポピュラーな言語の２つである。また、Ｐａｓｃａｌのオブジェクト指向バージョンもまた存在する。
【０１０１】
本発明の１実施形態がオブジェクト指向プログラミング言語で記述されたコンピュータプログラムを用いて実施される場合、本発明はまた、手続き型プログラミング言語等を用いて実施され得る。
【０１０２】
上述したように、１以上のコンピュータ３０２がネットワークによって接続される。本発明の１実施形態は、ピア−トゥ−ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークを用いる。ピア−トゥ−ピアオブジェクトアーキテクチャが理解される前に、クライアント／サーバアーキテクチャと呼ばれるタイプのネットワークアーキテクチャが説明される必要がある。クライアント／サーバアーキテクチャは、ネットワーク上の各コンピュータまたはプロセスがクライアントまたはサーバのどちらかであるネットワークアーキテクチャである。サーバは、ディスクドライブ（ファイルサーバ等）、プリンター（プリントサーバ）、アプリケーション／機能またはネットワークトラフィック（ネットワークサーバ）を管理するコンピュータまたはプロセスである。実際、サーバは、アプリケーションにリソースを割り当てる任意のコンピュータまたはデバイスである。クライアントは、パーソナルコンピュータまたはサークステーションであり、このパーソナルコンピュータまたはサークステーションで、ユーザがアプリケーションを使用し得る。クライアントは、ファイル、デバイスのリソースのサーバ、機能の実行および処理電力さえも依存する。
【０１０３】
上述したように、本発明の１実施形態は、ピア−ツゥ−ピアオブジェクトアーキテクチャと呼ばれるタイプのネットワークを用いる。ピア−ツゥ−ピアオブジェクトアーキテクチャでは、ネットワークにおける各コンピュータが等価なキャパシティおよび責任を有する。これは、いくつかのコンピュータが他のコンピュータに貢献することのみに用いられるクライアント／サーバアーキテクチャと異なる。それゆえ、本発明の１実施形態では、全てのコンピュータ３０２は、サーバまたはクライアントのどちらかとして動作し得る。サーバ２０２に保存されるエンジンおよびデータは、次に説明される。
【０１０４】
（Ｄ．本発明のエンジンおよびデータ）
上述のように、図２の認証サーバ２０２は、本発明のエンジンである。本発明の一実施形態において、ユーザが本発明によって認証されるかどうかを最終的に判定するのは、（ポリシーを実行する）このエンジンである。加えて、認証サーバ２０２は、本発明によってアクセスされたデータを格納する。認証サーバ２０２内に格納されたデータが形成され得る方法は、データベースとする方法及びディレクトリとする方法を含んでいる。データベースの形成およびディレクトリの形成の双方が、関連する同時係属中の米国特許出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に記載されている。
【０１０５】
さらに、認証サーバ２０２内に格納された種々のデータの集合は、管理者が認証サーバ２０２を最初にセットアップし得る、典型的なステップのシーケンスに沿って、関連する同時係属米国特許出願第０９／２６４，７２６号および米国出願第０９／５１７，１２１号に詳細に記載されている。認証サーバ２０２内に格納された典型的なデータは、テンプレート、ポリシー（またはポリシーＩＤ）、グループ、デバイスＩＤ、ユーザＩＤ、コンピュータＩＤおよびアプリケーションＩＤを含んでいる（ただし、これらに限定されない）。付加データは、ウェブアプリケーション用のユーザ独自のユーザネームをユーザのＧＵＩＤに、その後、ユーザを特定するポリシーにマッピングする一つ以上のテーブルを含み得る。
【０１０６】
一つ以上の唯一のテンプレートは、ユーザが異なる識別デバイス上に登録する各回毎に、認証サーバ２０２に形成され、且つ、格納される。テンプレートは特定の生物測定デバイスに対するユーザ独自の測定値（これは、次に、デバイスがユーザを識別することを試みている場合に、ユーザの「生きた」測定値に対してマッチングするために用いられる）または非生物デバイス用のパスワード等を格納する。
【０１０７】
本発明のポリシーは、ユーザが認証サーバ２０２によって認証されることになっている方法または方式を判定する。本発明によって提供された事前に規定されたポリシーの具体例としては、ＯＲポリシー、ＡＮＤポリシー、ＣＯＮＴＥＮＧＥＮＴポリシー、ＲＡＮＤＯＭポリシー、ＴＨＲＥＳＨＯＬＤポリシー、多数ユーザポリシー、多数ロケーションポリシー、多数テンプレートポリシー、ユーザ依存ポリシー、ロケーション制限ポリシー、およびコンピュータ／デバイス固有のポリシーが含まれる。本発明は、さらに、管理者が他のポリシーを規定または形成することを許容する。
【０１０８】
各事前規定されたポリシーは、そのポリシーに関連したデバイスのリストを有している。デバイスのリストは、特定のポリシーを実行するために用いられている識別デバイスを確認する。デバイスのリスト内の各デバイスは、関連する閾値およびタイムアウト値（これは、生物測定デバイスに関して典型的に真である）を有し得る。閾値（例えば、偽である容認レート）は、ユーザがデバイスを通過するために、デバイスが判定しなければならない識別レベルを示す。タイムアウト値は、デバイスがユーザを、閾値によって確認される識別レベルまで確認しなければならない時間を示す。
【０１０９】
本発明内のグループは、ウェブ／アプリケーションサーバ２１４上に格納された同じセットの情報にアクセスする必要がある、一以上のユーザを結びつける論理的な方式である。例えば、インターネット内の全てのユーザが、ユーザが株式を取引することを許容するオンラインアプリケーションのログインページをアクセスすることが許容され得る。同じオンラインアプリケーションに対して、ユーザおよびそのユーザによって特定される他のユーザのみが、ユーザ内密の情報にアクセスすることを許容されたグループ内に存在する。したがって、グループの一つが「ＵＳＲ２４４５８グループ」として規定され得る。ここで、ユーザが「ＵＳＲ２４４５８グループ」に入れられた場合、該当するユーザ（一旦、本発明によって認証される）は、「ＵＳＲ２４４５８グループ」内の全ての他のユーザと同じリソースにアクセスする。
【０１１０】
各ユーザは、一つ以上のグループに入れられ得る。ユーザが、特定のグループ内の情報にアクセスを得ること試みる場合、ユーザは、特定のグループに関連するいずれかのポリシーによって認証されなければならない。
【０１１１】
デバイスＩＤは、識別デバイスを確認する。各識別デバイスは、独自ＩＤを有している。このため、デバイスＩＤの集合は、本発明が、インターネット内の通信プロトコル可能クライアント（ウェブブラウザ）に接続された各識別デバイスを独自に確認する許容する。同様に、ユーザＩＤは、本発明を利用しているユーザを独自に確認する。ユーザを認証し、遠隔からユーザを登録するための、本発明のコンポーネント間のメッセージの流れは、次のセクションＥおよびセクションＦにおいて、それぞれ記載される。
【０１１２】
（Ｅ．本発明による認証のためのコンポーネント間のメッセージフロー）
図１１は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザを認証するための、本発明のコンポーネント間の高水準メッセージフローを示す。ユーザが、本発明のサービスを利用しているウェブサイトまたはウェブアプリケーションにアクセスしようと試みる場合、登録プロセス中に、このユーザは、ユーザがすでに登録している「ユーザ名」を入力するよう促される。フロー線１１０２で示されるように、この「ユーザ名」がフィルタ２０６に送られる。
【０１１３】
フィルタ２０６が「ユーザ名」を受け取ると、フィルタ２０６は、フロー線１１０４で示されるように、データベースに格納されているその「ユーザ名」のポリシーおよびテンプレート（または認定書）を取り出すためのリクエストを、認証サーバ２０２に（通信コンポーネント２０４を介して）送る。
【０１１４】
認証サーバ２０２は、フロー線１１０６で示されるように、「ユーザ名」のポリシーおよびテンプレートを取り出し、それらを（通信コンポーネント２０４を介して）フィルタ２０６に返す。
【０１１５】
ポリシーおよびテンプレートに基づいて、フィルタ２０６は、フロー線１１０８で示されるように、ユーザにユーザの認定書を示すように要求する。ここで、認証制御コンポーネント２０８は、ユーザを任意の必須生物測定獲得／マッチングプロセスへと導く。
【０１１６】
その後、認証制御コンポーネント２０８は、フロー線１１１０で示されるように、測定結果をフィルタ２０６に送る。フィルタ２０６は、フロー線１１１２で示されるように、これらの測定結果を（通信コンポーネント２０４を介して）認証サーバ２０２に転送する。
【０１１７】
次いで、ユーザのポリシーに基づいて、認証サーバ２０２は、ユーザが要求する特定の情報にアクセスするために、マッチングが十分良好であったか、または、（複数のファクタによる認証またはポリシーの場合と同様に）さらなる認定書を必要とするかを判定する。複数のファクタによる認証が必要な場合には、フロー線１１０６〜１１１２が、必要に応じて何度も繰り返される。
【０１１８】
認証サーバがユーザのポリシーを実行し、ユーザが認証されたかどうかを判定することができると、通信コンポーネント２０４は、フロー線１１１４で示されるように、結果をフィルタ２０６に転送する。ここで、ユーザが認証されると、フィルタ２０６は、ウェブ／アプリケーションサーバ２１４と対話して、ユーザに、ユーザが要求する情報にアクセスすることを許可する。
【０１１９】
ユーザは、そのセッション中（すなわち、ユーザがウェブブラウザ２１２を閉じるまで）、ウェブアプリケーションまたはウェブサイトを使用することができる。したがって、フィルタ２０６によって、フロー線１１１６で示されるように、ユーザは、自身が要求する情報にアクセスすることを許可されるか、または、拒否される。本発明の遠隔登録のためのコンポーネント間のメッセージフローを次に説明する。
【０１２０】
（Ｆ．本発明による遠隔登録のためのコンポーネント間のメッセージフロー） 図１２は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザを遠隔登録するための、本発明のコンポーネント間の高水準メッセージフローを示す。遠隔登録のためのメッセージフローは、認証のためのメッセージフローと極めて類似している。登録アプリケーションは、ユーザとの対話を管理する。登録アプリケーションそのものを用いてユーザを認証する場合、本発明によるいくつかの技術が用いられ得る。例えば、アプリケーションまたはウェブサイトにアクセスするために、今日ユーザが用いる既存のユーザ名とパスワードとの組み合わせが使用され得る。別の例では、ユーザ用に生成され、ユーザに（電子的またはその他の方法で）送られ得る１回限りのパスワードまたはＰＩＮである。いずれの場合にも、（図１０を参照して上述したように）登録オブジェクトは、ユーザの認証を１回だけ行って、その後、ユーザのコンピュータに認証制御コンポーネント２０８をダウンロードする。
【０１２１】
図１２を参照して、ユーザは、フロー線１２０２で示されるように、１回限りのパスワードまたはＰＩＮをフィルタ２０６に発信する。
【０１２２】
次いで、フィルタ２０６は、フロー線１２０４で示されるように、登録オブジェクトによってユーザを１回だけ認証することを要求する。
【０１２３】
フロー線１２０６で示されるように、１回だけの認証結果をフィルタ２０６に返す。
【０１２４】
フィルタ２０６は、フロー線１２０８で示されるように、この要求を認証制御コンポーネント２０８に転送する。
【０１２５】
認証制御コンポーネント２０８は、フロー線１２１０で示されるように、（登録アプリケーションを介して）ユーザから必須の生物測定を獲得し、その後、この獲得結果をフォイルタ２０６に知らせる。
【０１２６】
その後、この獲得結果は、フロー線１２１２で示されるように、フィルタ２０６から登録オブジェクトに転送され、認証サーバ２０２に結果が格納される。本発明では、この時点でユーザが登録される。本発明のコンポーネントＡＰＩおよび拡張性を次に説明する。
【０１２７】
（Ｇ．本発明によるユーザ管理のためのコンポーネント間のメッセージフロー）
図１４は、本発明の実施形態による、ウェブブラウザ２１２を用いてユーザに統合型認証サービスを提供するための、本発明のコンポーネント間の高水準メッセージフローを示す。ユーザが、本発明のサービスを用いているウェブ／アプリケーションサーバ２１４によって提供されたアカウントにアクセスを試みる場合、ユーザは、そのアカウントに対してユーザが登録した「ユーザ名」（例えば、「ｊｓｍｉｔｈ．ｕｓｅｒ．ｔｒａｄｅｏｎｌｉｎｅ．ｃｏｍ」）を入力するよう促される。この「ユーザ名」は、フロー線１４０２で示されるように、フィルタ２０６に送られる。
【０１２８】
フィルタ２０６が「ユーザ名」を受け取ると、フィルタ２０６は、フロー線１４０４で示されるように、「ユーザ名」をユーザ管理コンポーネント２０７に転送する。ここで、ユーザ管理コンポーネント２０７は、ユーザを認証するために使用するＧＵＩＤおよびポリシー（これは、ポリシーを実行するに必要な任意の必須識別デバイスを含む）を決定する。
【０１２９】
その後、ユーザ管理コンポーネント２０７は、フロー線１４０６で示されるように、ポリシーを認証サーバ２０２に転送する。
【０１３０】
次いで、認証サーバ２０２は、フロー線１４０８で示されるように、ユーザ管理コンポーネント２０７によってその認証サーバ２０２に提供されたポリシーを用いて通常通りの認証を行う。
【０１３１】
（Ｈ．本発明のコンポーネントＡＰＩおよび拡張性）
サーバ側コンポーネント（すなわち、認証サーバ２０２および通信コンポーネント２０４）、フィルタ２０６および登録アプリケーションは、ウェブを作動させるクライアントに良好に規定されたインターフェースを提示する。これらのインターフェースは、ＨＴＴＰ ＧＥＴまたはＰＯＳＴ法を用いて要求され得るＵＲＬのセットからなる。ＡＰＩおよびそれに関連する以下に示す規約は、これらの対話をどのように実現するか示す単なる例示にすぎない。これらの例は、本発明を制限することを意図していない。すべてのＵＲＬリクエストは、以下の構文に従う必要があり得る。
ＭＥＴＨＯＤ ＨＴＴＰ法のタイプであり、ＧＥＴまたはＰＯＳＴであり得る
ＨＥＡＤＥＲ ＨＴＴＰのヘッダであり、フォーマットは名前＝値である
ＢＯＤＹ ＨＴＴＰリクエストの本体であり、一連の名前＝値の対、バイナリデータまたはその両方であり得る
＜ｆｏｏｂａｒ＞ 任意の要素を定義する
ｆｏｏ／ｂａｒ 「ｆｏｏ」または「ｂａｒ」を定義する。
【０１３２】
サーバ側コンポーネント、フィルタ２０６および登録アプリケーションは、特定のフォーマットのリクエストを要求する。これらのリクエストに対する応答もまた、特定のフォーマットに従う。これにより、拡張型アーキテクチャが可能となり、新たなウェブを作動させるサービスを既存の設備につなぐことができる。ＢＮＦは「バッカス記法」の略称である。このＢＮＦは、プログラミング言語、コマンドセット等の構文を特定するために用いられるメタ構文法である。以下は、本発明のリクエストのＢＮＦである。これは、作成されるべきオブジェクトのタイプ、および、そのオブジェクトに送られるデータのＩＤを含む。
【０１３３】
【数１】
【０１３４】
（Ｉ．結論）
本発明の種々の実施形態を上述してきたが、これらの実施形態は例示を目的としており制限するものではないことを理解されたい。当業者であれば、本発明の意図および範囲から逸脱することなく、実施形態における形態および細部の種々の変更が為され得ることを理解する。このことは、後に発展し得る関連分野における技術および用語を考慮した場合に特に当てはまる。したがって、本発明は、上述の例示的な実施形態のいずれによっても制限されるのではなく、上掲の特許請求の範囲およびその均等物によってのみ規定されるべきである。
【図面の簡単な説明】
【図１】
図１は、インターネットに接続された複数のクライアントおよびサーバを示すネットワークのブロック図である。
【図２】
図２は、本発明の実施形態における動作環境の例を示すブロック図である。
【図３】
図３は、本発明の実施形態における実施コンポーネントとして用いられ得るコンピュータの例を示す。
【図４】
図４は、本発明の実施形態における、通信プロトコルが無線通信プロトコルであるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図５Ａ】
図５Ａは、本発明の実施形態における、通信プロトコルがローカルネットワークまたはイントラネット用であるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図５Ｂ】
図５Ｂは、本発明の実施形態における、通信プロトコルがインターネット用であるときに要求される必要な機能を実行する通信コンポーネントを示す。
【図６】
図６は、本発明の実施形態における認証機能の傾聴（ｌｉｓｔｅｎ）オブジェクトのタスクを示す。
【図７】
図７は、本発明の実施形態における認証機能のコム（ｃｏｍｍ）オブジェクトのタスクを示す。
【図８】
図８は、本発明の実施形態における認証機能の認証オブジェクトのタスクを示す。
【図９】
図９は、本発明の実施形態における遠隔登録機能の傾聴オブジェクトのタスクを示す。
【図１０】
図１０は、本発明の実施形態における遠隔登録機能の登録オブジェクトのタスクを示す。
【図１１】
図１１は、本発明の実施形態における、ユーザがウェブブラウザを使用することを認証するための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１２】
図１２は、本発明の実施形態における、ウェブブラウザ２１２を用いるユーザの遠隔からの登録のための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１３】
図１３は、本発明の実施形態におけるユーザ管理コンポーネントのタスクを示す。
【図１４】
図１４は、本発明の実施形態における、ウェブブラウザを用いるユーザ管理のための本発明のコンポーネント間のハイレベルメッセージフローを示す。
【図１５】
図１５は、本発明の実施形態における、ユーザ資格を要求し、次にユーザ資格を格納し、ユーザが１つ以上のユーザのオンラインアプリケーションアカウントへのアクセスの保護のレベルを定義することを可能にするためのポリシーを要求する本発明を示すハイレベルフローチャートである。
Claims (22)
- 通信媒体を介して第１のサーバによって提供された第１のアカウントにユーザ認証を提供するシステムであって、
クライアント側コンポーネントと、
該通信媒体を介して該クライアント側コンポーネントに接続されたユーザ管理コンポーネントと、
該通信媒体を介して該ユーザ管理コンポーネントに接続されたサーバ側コンポーネントと
を備え、
該クライアント側コンポーネントは、認証制御コンポーネントを備え、該認証制御コンポーネントは、該第１のアカウントのためのユーザ決定ポリシーとユーザ認定書とを獲得し、ユーザに該第１のアカウントにアクセスするための保護レベルを規定させるプロセスを管理し、かつ、該ユーザ決定ポリシーと該ユーザ認定書とを獲得した結果を該ユーザ管理コンポーネントに通信し、
該ユーザ管理コンポーネントは、該ユーザ決定ポリシーと該ユーザ認定書とを星型ロケーションに格納し、かつ、第２のサーバによって提供される第２のアカウントに対するユーザ認証用に、該ユーザ認定書を再度用い得るように、該ユーザ決定ポリシーと該ユーザ認定とを整理し、
該サーバ側コンポーネントは、認証サーバを備え、該ユーザ管理コンポーネントは、該第１のアカウントに対するユーザ認証用に該ユーザ決定ポリシーを用いることを該認証サーバに示す、システム。 - 前記通信媒体はインターネットである、請求項１に記載のシステム。
- 前記通信媒体はローカルネットワークである、請求項１に記載のシステム。
- 前記通信媒体は無線ワークである、請求項１に記載のシステム。
- 前記第１のサーバと前記第２のサーバとは、ウェブサーバである、請求項１に記載のシステム。
- 前記第１のサーバと前記第２のサーバとは、アプリケーションサーバである、請求項１に記載のシステム。
- 前記認証制御コンポーネントが呼び出されるたびに、該認証制御コンポーネントの保全性がチェックされる、請求項１に記載のシステム。
- 前記第１のアカウントのための前記ユーザ決定ポリシーは、前記第２のアカウントのための第２のユーザ決定ポリシーと同じである、請求項１に記載のシステム。
- 前記第１のアカウントのための前記ユーザ決定ポリシーは、前記第２のアカウントのための第２のユーザ決定ポリシーと異なる、請求項１に記載のシステム。
- 前記第１のサーバと前記第２のサーバとは関係がない、請求項１に記載のシステム。
- 前記第１のサーバと前記第２のサーバとは関係がある、請求項１に記載のシステム。
- 通信媒体を介して第１のサーバによって提供される第１のアカウントにユーザ認証を提供する方法であって、
認証制御コンポーネントを介して、該第１のアカウントのためのユーザ決定ポリシーとユーザ認定書とを獲得するプロセスを管理するステップであって、ユーザに該第１のアカウントにアクセスするための保護レベルを規定させる、ステップと、
該認証制御コンポーネントからユーザ管理コンポーネントへと該ユーザ決定ポリシーと該ユーザ認定書とを獲得した結果を通信するステップと、
第２のサーバによって提供された第２のアカウントに対するユーザ認証用に、該ユーザ認定書を再度用い得るように、該ユーザ管理コンポーネントによって、該ユーザ決定ポリシーと該ユーザ認定書とを星型ロケーションに整理するステップと、
該ユーザ管理コンポーネントによって、該第１のアカウントに対するユーザ認証用に該ユーザ決定ポリシーを用いることを該認証サーバに示すステップと
を包含する、方法。 - 前記通信媒体はインターネットである、請求項１２に記載の方法。
- 前記通信媒体はローカルネットワークである、請求項１２に記載の方法。
- 前記通信媒体は無線ワークである、請求項１２に記載の方法。
- 前記第１のサーバと前記第２のサーバとは、ウェブサーバである、請求項１２に記載の方法。
- 前記第１のサーバと前記第２のサーバとは、アプリケーションサーバである、請求項１２に記載の方法。
- 前記認証制御コンポーネントが呼び出されるたびに、該認証制御コンポーネントの保全性がチェックされる、請求項１２に記載の方法。
- 前記第１のアカウントのための前記ユーザ決定ポリシーは、前記第２のアカウントのための第２のユーザ決定ポリシーと同じである、請求項１２に記載の方法。
- 前記第１のアカウントのための前記ユーザ決定ポリシーは、前記第２のアカウントのための第２のユーザ決定ポリシーと異なる、請求項１２に記載の方法。
- 前記第１のサーバと前記第２のサーバとは関係がない、請求項１２に記載の方法。
- 前記第１のサーバと前記第２のサーバとは関係がある、請求項１２に記載の方法。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US19147100P | 2000-03-23 | 2000-03-23 | |
| US69506000A | 2000-10-25 | 2000-10-25 | |
| PCT/US2001/009188 WO2001071961A1 (en) | 2000-03-23 | 2001-03-23 | System, method and computer program product for providing unified authentication services for online applications |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004524591A true JP2004524591A (ja) | 2004-08-12 |
Family
ID=26887076
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001570010A Withdrawn JP2004524591A (ja) | 2000-03-23 | 2001-03-23 | オンラインアプリケーション用統合型認証サービスを提供するシステム、方法およびコンピュータプログラム製品 |
Country Status (4)
| Country | Link |
|---|---|
| JP (1) | JP2004524591A (ja) |
| AU (1) | AU2001243706A1 (ja) |
| CA (1) | CA2403383C (ja) |
| WO (1) | WO2001071961A1 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105450629A (zh) * | 2015-10-29 | 2016-03-30 | 东莞酷派软件技术有限公司 | 基于生物信息验证的路由器连接方法及装置和路由器 |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7441263B1 (en) | 2000-03-23 | 2008-10-21 | Citibank, N.A. | System, method and computer program product for providing unified authentication services for online applications |
| GB2386445A (en) * | 2002-03-13 | 2003-09-17 | Hewlett Packard Co | Application server functions |
| US8458775B2 (en) | 2006-08-11 | 2013-06-04 | Microsoft Corporation | Multiuser web service sign-in client side components |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH06223041A (ja) * | 1993-01-22 | 1994-08-12 | Fujitsu Ltd | 広域環境利用者認証方式 |
| US5724423A (en) * | 1995-09-18 | 1998-03-03 | Telefonaktiebolaget Lm Ericsson | Method and apparatus for user authentication |
| US5930804A (en) * | 1997-06-09 | 1999-07-27 | Philips Electronics North America Corporation | Web-based biometric authentication system and method |
| US6052468A (en) * | 1998-01-15 | 2000-04-18 | Dew Engineering And Development Limited | Method of securing a cryptographic key |
| US6178511B1 (en) * | 1998-04-30 | 2001-01-23 | International Business Machines Corporation | Coordinating user target logons in a single sign-on (SSO) environment |
-
2001
- 2001-03-23 AU AU2001243706A patent/AU2001243706A1/en not_active Abandoned
- 2001-03-23 CA CA2403383A patent/CA2403383C/en not_active Expired - Lifetime
- 2001-03-23 JP JP2001570010A patent/JP2004524591A/ja not_active Withdrawn
- 2001-03-23 WO PCT/US2001/009188 patent/WO2001071961A1/en active Search and Examination
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105450629A (zh) * | 2015-10-29 | 2016-03-30 | 东莞酷派软件技术有限公司 | 基于生物信息验证的路由器连接方法及装置和路由器 |
Also Published As
| Publication number | Publication date |
|---|---|
| WO2001071961A9 (en) | 2001-12-20 |
| CA2403383A1 (en) | 2001-09-27 |
| AU2001243706A1 (en) | 2001-10-03 |
| CA2403383C (en) | 2011-06-28 |
| WO2001071961A1 (en) | 2001-09-27 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9438633B1 (en) | System, method and computer program product for providing unified authentication services for online applications | |
| JP4782986B2 (ja) | パブリックキー暗号法を用いたインターネット上でのシングルサインオン | |
| TWI400922B (zh) | 在聯盟中主用者之認證 | |
| US8607322B2 (en) | Method and system for federated provisioning | |
| US7725562B2 (en) | Method and system for user enrollment of user attribute storage in a federated environment | |
| US7587491B2 (en) | Method and system for enroll-thru operations and reprioritization operations in a federated environment | |
| US8060632B2 (en) | Method and system for user-determined attribute storage in a federated environment | |
| US8042162B2 (en) | Method and system for native authentication protocols in a heterogeneous federated environment | |
| US8561161B2 (en) | Method and system for authentication in a heterogeneous federated environment | |
| US7877492B2 (en) | System and method for delegating a user authentication process for a networked application to an authentication agent | |
| US7412720B1 (en) | Delegated authentication using a generic application-layer network protocol | |
| CN112468481B (zh) | 一种基于CAS的单页和多页web应用身份集成认证方法 | |
| JP4467256B2 (ja) | 代理認証プログラム、代理認証方法、および代理認証装置 | |
| US20040128546A1 (en) | Method and system for attribute exchange in a heterogeneous federated environment | |
| JP2006502496A (ja) | クライエント−サーバネットワークで通信を行うための方法およびシステム | |
| US7506363B2 (en) | Methods, systems, and computer program products for user authorization levels in aggregated systems | |
| US7895644B1 (en) | Method and apparatus for accessing computers in a distributed computing environment | |
| US7020705B2 (en) | De-authenticating in security environments only providing authentication | |
| JP2004524591A (ja) | オンラインアプリケーション用統合型認証サービスを提供するシステム、方法およびコンピュータプログラム製品 | |
| CA2398584C (en) | System, method and computer program product for enrolling and authenticating communication protocol-enabled clients for access to information | |
| KR20090106368A (ko) | 네트워크 위치의 하위 위치에 대한 사용자의 인증을 위한 방법 및 시스템 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A300 | Application deemed to be withdrawn because no request for examination was validly filed |
Free format text: JAPANESE INTERMEDIATE CODE: A300 Effective date: 20080603 |